Archives de catégorie : Mise à jour

Banque, Base de données, Chiffrement, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Securite informatique

Fuite de données : Un espace anonyme de discussion Bloomberg le devient beaucoup moins à cause d’une erreur

Près de mille utilisateurs d’un espace de discussion anonyme Bloomberg se retrouvent affichés après qu’une société d’investissement de Londres diffuse la liste des participants par erreur.

La société Bloomberg a organisé, la semaine dernière, un chat avec un millier de participants. Des « posteurs » de messages anonymes qui venaient parler « bourse » ; « argent » … Une société d’investissement de Londres a fait une boulette en envoyant une liste des participants – comprenant les noms et les employeurs – aux personnes présentes dans la salle de discussion. Cette violation de données est l’une des plus importantes pour l’entreprise d’information financière de l’ancien maire de New York, Mike Bloomberg. Bilan, les modérateurs ont du fermer plusieurs espaces de discussions accès sur les données macroéconomiques et l’énergie. Pour les 866 participants impactés par cette fuite, un événement déconcertant. Il expose leurs commentaires sur leurs concurrents et les entreprises qu’ils analysaient. Ce service Bloomberg comporte 325 000 abonnés. L’impact sur l’image de marque risque d’en prendre un coup. (NYP)

Base de données, Cloud, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Sauvegarde, Securite informatique

Fuite de données pour 52 loueurs de voitures néerlandais

Plus de 180 000 clients de loueurs de voitures des Pays-Bas accessibles sur Internet sans aucune sécurité, ni restriction.

La cybersécurité prend un coup dans l’aile pour des loueurs de voitures. Dans quelques 52 entreprises de location de véhicules opérant aux Pays-Bas, cette sécurité informatique était si mauvaise qu’il n’aura fallu que quelques clics de souris pour accéder à 180 000 dossiers de clients. La fuite a été découverte par la société ESET, société basée à Sliedrecht, qui recherchait un nouveau fournisseur d’automobiles d’entreprise pour son personnel. La fuite partait du logiciel professionnel LeaseWise. Via ce logiciel, les loueurs se partagent une base de données. Un partage non protégé des regards extérieurs ! Les données divulguées incluaient les adresses des clients, les contrats de location et le nombre total de kilomètres parcourus par voiture. (NLT)

Base de données, BYOD, Chiffrement, Cloud, Cybersécurité, Entreprise, Mise à jour, Sauvegarde, Securite informatique

Oups ! Cisco efface des données clients par erreur dans le cloud

La société Cisco a admis avoir perdu, accidentellement, des données du client lors d’une erreur de configuration du cloud de sa filiale Meraki.

Ahhhh, le cloud, petit bonheur numérique qui permet, selon les plaquettes publicitaires de « se faciliter la vie » ; « d’économiser de l’argent » ; « de renforcer son potentiel économique« . Bref, le cloud c’est bien… sauf quand ça bug. Le dernier incident en date concerne CISCO. L’entreprise américaine a confirmé, et donc avoué, avoir perdu des données clients. Un accident en raison d’une erreur de configuration du cloud de sa filiale Meraki.

La semaine dernière, l’équipe d’ingénierie cloud de CISCO a effectué un changement de configuration sur son service de stockage basé en Amérique du Nord. Sauf que cette mise à jour a supprimé certaines données clients. Meraki est une filiale de Cisco qui offre des technologies d’information gérées par le cloud pour les caméras sans fil, et tout ce qui concerne les communications de sécurité via une interface Web.

Un outil pour savoir ce qui a été perdu dans le cloud !

L’entreprise a déclaré que son équipe d’ingénieurs a travaillé pendant le week-end de 5/6 août pour voir si elle pouvait récupérer les données de ses clients. CISCO va fournir, ce 7 août, un outil pour « aider nos clients à identifier précisément ce qui a été perdu ». Cisco n’a pas précisé combien de clients ont été impactés par cet incident. Meraki est utilisé par plus de 140 000 clients et 2 millions de périphériques réseau y sont connectés.

En juillet dernier, des centaines d’entreprises, dont la Compagnie météorologique d’IBM, Fusion Media Group et Freshworks, utilisateurs de Google Groups pour leurs messages internes et privés, ont accidentellement exposé des informations sensibles publiquement en raison d’une erreur de configuration par les administrateurs de groupe. La société Dow Jones & Co a récemment confirmé que des données personnelles et financières de près de 2,2 millions de clients avaient été exposées en raison d’une erreur de configuration dans le seau S3 d’Amazon. Plus tôt cette année, la panne massive de S3 de Amazon Web Services, pendant plusieurs heures, a été causée en raison d’une erreur d’ingénierie.

Quelques jours auparavant, Verizon avait confirmé qu’un fournisseur tiers avait exposé des millions d’enregistrements d’abonnés sur un serveur de stockage Amazon S3 non protégé. Toujours en juillet, WWE confirmait qu’une base de données non protégée contenant les détails de plus de 3 millions d’utilisateurs avait été trouvée stockée en texte brut sur un serveur Amazon Web Services S3.

 

Cyber-attaque, Cybersécurité, escroquerie, ID, Identité numérique, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Securite informatique, Social engineering

Les auteurs de Fireball arrêtés

Un commentaire

Le logiciel malveillant Fireball a infiltré plus de 250 millions d’ordinateurs. Onze personnes soupçonnées d’être derrière cet outil pirate arrêtées.

La police Chinoise vient d’arrêter 11 présumés pirates informatiques auteurs de l’infiltration de plus de 250 millions d’ordinateurs. Les personnes sont soupçonnées d’avoir développé des logiciels malveillants nommés Fireball. Parmi les dispositifs infectés, 20% appartiennent à de grands réseaux d’entreprises dans divers pays. Le programme malveillant Fireball a été découvert il y a deux mois par des chercheurs de la société Proofpoint.

Fireball avait pour mission de se cacher dans les ordinateurs et d’afficher des publicités dans les navigateurs. Pour piéger les internautes, les pirates passaient par un éditeur de logiciels Chinois, Rafotech. Les publicités affichés, rapportaient de l’argent aux pirates à chaque diffusion. Les 11 personnes arrêtées travaillaient pour Rafotech. Les pirates informatiques auraient gagné 80 millions de yuans (Plus de 10 928 290 millions d’euros) avec leur campagne de logiciels malveillants, rapporte le Beijing Youth Daily. Au moment de la découverte de Fireball, les chercheurs ont trouvé 25,3 millions d’appareils infectés en Inde, 5,5 millions d’appareils aux États-Unis, 24,1 millions au Brésil, 16,1 millions au Mexique, 13,1 millions en Indonésie.

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Piratage, Securite informatique

Infy : Prince of Persia persiste et signe

En février 2017, l’Unit42, unité de recherches de Palo Alto Networks a observé une évolution du malware “Infy” que nous avons appelée « Foudre ». Les acteurs concernés semblent avoir tiré les enseignements suite à notre démantèlement et notre sinkholing (redirection vers un serveur que nous contrôlons) de leur infrastructure de commande et de contrôle (C2). En effet, Foudre intègre désormais de nouvelles techniques anti-démantèlement censées éviter que ses domaines C2 ne soient détournés vers un site sinkhole comme nous l’avions fait en 2016.

L’Unit42 a documenté ses travaux de recherche originels sur cette campagne vieille de dix ans en utilisant le malware Infy en mai 2016. Un mois après la publication de ces travaux, l’Unit42 a donné une description détaillée de notre démantèlement et de notre sinkholing des serveurs C2 de l’acteur. En juillet 2016, au congrès Blackhat U.S.A, Claudio Guarnieri et Collin Anderson ont présenté des preuves montrant qu’un sous-ensemble des domaines C2 redirigés vers notre sinkhole avaient été bloqués par falsification DNS et filtrage HTTP par la Telecommunication Company of Iran (AS12880), empêchant l’accès depuis le territoire national iranien à notre sinkhole.

Voici les modifications apportées au malware dans ce blog post dédié, quelques informations et précisions ci-dessous. L’Unit42 en profite également pour mettre en avant certaines erreurs courantes, et explique comment elle les a exploitées pour en savoir plus sur cette campagne.
Cartographie des victimes

L’Unit42 avait prévu l’un des noms de domaine DGA et l’avait enregistré avant que l’adversaire ne puisse le faire.

Les victimes ont tenté de se connecter à un C2 dans ce domaine, mais, ne possédant pas la clé privée RSA, l’Unit42 n’a pas pu vérifier son domaine auprès d’elles. Cependant, elle a pu établir une cartographie géolocalisant les victimes à l’aide de GeoIP (voir pièce jointe).

On remarque la prépondérance des victimes sur le territoire national iranien, ce qui rappelle fortement les campagnes d’Infy. Les attaques menées contre les États-Unis et l’Irak sont aussi familières. Ici encore, le très petit nombre de cibles fait penser à une motivation non financière.

L’une des victimes en Irak utilise une adresse IP dans le même réseau de classe C que l’une des victimes Infy déjà observées, ce qui laisse à penser que l’adversaire cible la même organisation, voire le même ordinateur.

Même si, en l’absence de la clé privée RSA, l’Unit42 n’a pas réussi à établir la communication avec les victimes, elle a découvert qu’en envoyant un fichier de signature non valide à la victime, du fait de l’absence de validation en entrée du contenu/de la taille de ce fichier, elle arrive à faire échouer le processus rundll32 qui exécute la DLL malveillante de Foudre. Cela permet de désactiver l’infection jusqu’à ce que la victime réinitialise sa machine.
Conclusion

Dans son post, blog Prince of Persia, l’Unit42 avait indiqué que cette campagne durait depuis au moins une dizaine d’années. Ainsi, elle a poursuivi le sujet avec son blog Prince of Persia: Game Over, qui documente son démantèlement et son sinkholing de l’infrastructure C2 de l’adversaire.

En ce qui concerne les actions de la Telecommunication Company of Iran en vue d’empêcher les C2 d’être redirigés vers notre sinkhole, Guarnieri et Anderson font observer que « la politique de filtrage indique que les autorités iraniennes sont intervenues spécialement pour bloquer l’accès aux domaines de commande et de contrôle d’une campagne d’intrusion visant l’État, au niveau national. »

L’Unit42 s’attend à voir Infy faire son retour : dans les grandes lignes, ce sera toujours le même malware, ciblant les mêmes victimes.

Les acteurs ont compris qu’ils avaient besoin d’une infrastructure C2 plus robuste pour empêcher l’infiltration et le démantèlement. L’algorithme DGA apporte une dose de résilience, mais n’est pas invulnérable à un démantèlement.

Toutefois, l’utilisation de la signature numérique constitue un dispositif de défense contre un C2. Sans accès aux clés privées, il n’est pas possible d’usurper l’identité d’un C2 même si un domaine DGA est enregistré par un chercheur. Il se peut que les clés privées résident localement sur le serveur C2, mais sans accès au C2, nous ne pouvons pas confirmer cette vulnérabilité potentielle de leur infrastructure.

Décidément, Prince of Persia persiste et signe.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, IOT, Leak, Mise à jour, Patch, Piratage, Securite informatique

Devil’s Ivy : une vulnérabilité aux dizaines de millions d’objets connectés

Devil’s Ivy, un bug récemment découvert affecte des dizaines de millions de périphériques connectés de part le monde.

La problématique du piratage informatique, de la mise à jour des objets connectés ne fait que commencer. Suite à la découverte par la Senrio Labs d’une vulnérabilité qui concernerait potentiellement une dizaine de millions d’objets connectés, la question se pose encore aujourd’hui. Que va-t-il se poser le jour [demain, NDR] ou les objets connectés se compteront par milliard ? Le bug a été découvert dans le code gSOAP  (Simple Object Access Protocol). Pour faire simple, une gSOAP est une série d’outils qui permettent aux objets connectés de parler et de se faire comprendre sur Internet.

Genivia, la société qui gère gSOAP, annonce avoir plus d’un million de téléchargements, et possède comme client IBM, Microsoft, Adobe ou encore Xerox. « Il est probable que des dizaines de millions de produits – produits logiciels et périphériques connectés – sont affectés par Devil’s Ivy dans une certaine mesure », déclarent les chercheurs de chez Senrio « Nous avons nommé la vulnérabilité Devil’s Ivy car, comme la plante, il est presque impossible de la tuer et elle se propager rapidement grâce à la réutilisation du code« .

Si l’impact de la vulnérabilité Devil’s Ivy est relatif, elle ne permettrait « que » de voir le flux vidéo ou d’interdire l’accès au flux vidéo des caméras concernées, celle-ci montre néanmoins l’importance du risque qui peut en découler et l’intérêt pour les pirates d’identifier des vulnérabilités similaires. « Du fait de l’industrialisation de ces objets et de leur sécurité, une fois une vulnérabilité identifiée, un groupe de malveillants peut très rapidement l’utiliser à des fins d’espionnage, de destruction » souligne Vincent Lavergne, Expert chez F5 Networks. L’internet des objets (IoT) offre un effet de levier sans précédent pour constituer très rapidement un nid conséquent de BotNets, comme ce fût le cas avec Miraï. Miraï ne comportait qu’une centaine de milliers de caméras de vidéo surveillance dans son portefeuille pirate.

Devil’s Ivy

« Dans le cas de cette vulnérabilité, les objets concernés étant déjà déployés, il va être difficile de mettre en place une action corrective à grande échelle pour combler la vulnérabilité. Et c’est l’un des principaux défis de l’IoT : comment gérer la réponse aux incidents pour ce type d’équipement ?  L’internet des objets introduit en effet de nouvelles problématiques pour la sécurité et beaucoup d’entre elles mériteraient des analyses approfondies ou une collaboration entre industriels afin de définir une approche optimale à long terme. La conception et l’implémentation de systèmes IoT vont venir empiler des protocoles, des couches techniques complexes et des programmes qui souffrent parfois de failles de sécurité. On met ainsi le doigt sur le manque de maturité des standards autour de l’internet des objets et d’un cadre de meilleures pratiques à respecter par les développeurs. Chacun se positionne en effet avec ses interfaces, ses plateformes, ses protocoles et – inévitablement – ses vulnérabilités. » termine Vincent Lavergne.

Un exploit utilisant l’idée du Devil’s Ivy entraînerait une exécution de code à distance – dans le boîtier de la caméra – et donc d’accéder à un flux vidéo, ou de couper ce dernier. Étant donné que des caméras de vidéo surveillance sont destinées à sécuriser quelque chose, le danger est réel. Le constructeur de caméra Axis a déclaré que ce problème était présent dans 249 de ses modèles, à l’exception de trois anciens models.

Cybersécurité, loi, Mise à jour

Neutralité du net. Qui va payer ? En profiter ?

Neutralité du net ? Aux Etats-Unis, des dizaines d’acteurs, parmi lesquels Google, Facebook ou encore Twitter, ont appelé à la mobilisation ce mercredi 12 juillet en faveur de la neutralité du net, un principe dont l’objectif est de garantir l’accès à internet pour tous et à l’intégralité des contenus, quel que soit le fournisseur d’accès à internet (FAI). Cette journée d’action fait suite à la remise en cause par la FCC (Commission fédérale des communications aux USA) d’un texte adopté par l’administration de Barack Obama concernant le renforcement de cette neutralité du net.

Google, Facebook ou encore Twitter, ont appelé à la mobilisation ce mercredi 12 juillet en faveur de la neutralité du net ! Il existe trois piliers fondamentaux sur lesquels repose internet, et qui sont aujourd’hui des droits, pas seulement des privilèges : la vie privée en ligne, la sécurité et l’accessibilité. Bien que cette dernière soit un principe fondateur, la neutralité du net n’est en revanche pas aussi évidente. Entre les fournisseurs de contenu et ceux d’accès à internet, les arguments pour ou contre sont nombreux d’un point de vue économique. Dans ce contexte, la question aujourd’hui est de savoir qui va payer et qui va en profiter ?

Imaginons par exemple que Google et Facebook soient des constructeurs, et que les FAI soient des entreprises de camionnage qui livrent de la marchandise. Dans ce cas, ces derniers vont effectuer des livraisons sans frais pour le fabricant. Au lieu de cela, ils facturent à chaque consommateur utilisant leurs services un montant forfaitaire mensuel qui leur permet de recevoir des biens ; ces derniers pouvant être lourds et imposants ou petits et légers. Dans cet exemple, les FAI imposent évidemment des coûts bien plus élevés pour la livraison de colis plus volumineux.

En ayant toujours en tête la problématique de la neutralité du net, les fournisseurs de contenu profitent essentiellement de la livraison gratuite de leurs produits, peu importe le type, tout en sachant que les vidéos coûtent plus cher qu’un simple email à délivrer. Les FAI, contre la neutralité du net, veulent être en mesure de leur imposer des frais pour ce service ou bien pour contrôler que la livraison n’impacte pas le réseau. De leur côté, les producteurs de contenu, favorables à cette neutralité, souhaitent qu’internet soit un service gratuit. Bien sûr, il y a également la question du respect de la sphère personnelle : laisser tomber la neutralité du net entrainerait-elle une violation de la vie privée par les FAI ?

A l’heure actuelle, le débat se résume à une bataille entre ceux qui veulent que le contenu soit délivré par internet, et ceux qui se chargent de le faire transiter et qui fournissent des efforts considérables pour en tirer profit. Qui supportera la charge financière pour développer et assurer l’avenir de cette infrastructure critique, vitale pour le fonctionnement de la société et de l’économie ? Ceux qui s’opposent à la neutralité du net devront payer pour l’infrastructure et la diffusion de contenus, tandis que les autres bénéficieront des investissements réalisés par les entreprises de télécommunications. Mais il faut avoir à l’esprit qu’une résolution ne sera adoptée que si le public s’exprime à ce sujet, auprès de l’Arcep par exemple. (Par Vince Steckler, Président Directeur Général d’Avast)

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, ransomware, Securite informatique

Failles de sécurité : responsables de la sécurité des systèmes d’information, pourquoi faire l’aveugle ?

Selon une enquête réalisée par ServiceNow, 90 % des responsables de la sécurité des systèmes d’information français déclarent que les failles de données dont ils ont connaissance ne sont pas traitées. Les RSSI augmentent l’efficacité de leur réponse aux incidents de sécurité en automatisant les tâches de sécurité et en hiérarchisant les menaces en fonction du risque pour l’entreprise.

Une nouvelle enquête menée par ServiceNow, the enterprise Cloud company, auprès de 300 responsables de la sécurité des systèmes d’information (RSSI — Chief Information Security Officer, CISO) du monde entier souligne la nécessité d’adopter une nouvelle approche pour répondre à l’augmentation du nombre de menaces qui pèsent sur la sécurité des données, ainsi qu’à la hausse de leur coût. Selon cette étude intitulée « The Global RSSI Study: How Leading Organizations Respond to Security Threats and Keep Data Safe », 90 % des RSSI français indiquent que les failles de données détectées ne sont pas traitées (80 % au niveau mondial) et 68 % déclarent pour leur part éprouver des difficultés à hiérarchiser les menaces en fonction du risque qu’elles représentent pour l’entreprise.

Ces lacunes ont un coût : 14 % des RSSI français (13 % au plan mondial) déclarent avoir vécu au cours des trois dernières années une importante faille de sécurité ayant eu un impact important sur l’image ou les finances de leur entreprise. Les processus manuels, le manque de ressources et de talents, ainsi que l’impossibilité de hiérarchiser les menaces grèvent l’efficacité de la réponse aux incidents de sécurité. Résultat, les RSSI augmentent l’automatisation des tâches de sécurité pour répondre et remédier aux failles de sécurité avec une plus grande efficacité.

« En France, les RSSI consacrent de plus en plus de temps à prévenir et détecter des failles de sécurité, mais notre étude souligne que c’est sur la réponse à apporter qu’ils devraient se concentrer », a déclaré Matthieu de Montvallon, Directeur Technique de ServiceNow France. « L’automatisation et l’orchestration de la réponse aux incidents de sécurité constituent le chaînon manquant qui empêche les RSSI d’accroitre de façon significative l’efficacité de leurs programmes de sécurité ».

Principales conclusions de l’étude menée en France via la réponse de responsables de la sécurité des systèmes d’information

· seulement 18 % des RSSI interrogés considèrent que leur entreprise lutte très efficacement contre les failles de sécurité (19 % à l’échelle mondiale) ;

· ce sont les clients qui souffrent le plus de ces lacunes : seulement 38 % des RSSI — en France et dans le monde — pensent protéger les données de leurs clients de façon très efficace contre les failles de sécurité ;

· environ un cinquième des RSSI français (22 %) déclare que les processus manuels entravent la capacité de leur entreprise à détecter des failles de sécurité et à y faire face ; 26 % d’entre eux imputent cette difficulté au manque de ressources ;

· seulement 4 % des RSSI français estiment que leurs employés disposent des compétences nécessaires pour hiérarchiser avec succès les menaces qui pèsent sur la sécurité, contre 7 % au plan mondial.

Au sein du panel couvert par cette enquête, un petit groupe (11 % à l’échelle mondiale et 14 % en France) de « leaders dans la lutte contre les incidents de sécurité » affiche une tendance différente en ce sens où ils souhaitent :

· automatiser un pourcentage supérieur d’activités de sécurité, en incluant des tâches plus avancées telles que les rapports de tendances ;

· hiérarchiser les réponses aux alertes de sécurité en fonction du niveau de risque pour l’entreprise ;

· et nouer des relations plus étroites avec la DSI et autres services de l’entreprise.

Cyber-attaque, Cybersécurité, DDoS, Mise à jour, Piratage, Securite informatique

Final Fantasy 14 subit une série d’attaques DDoS

La seconde extension de Final Fantasy 14, Stormblood, était attendue par tous les « afficionados » du célèbre jeu sur Playstation 4, Mac et PC. Un lancement qui a été perturbé par une série d’attaques par déni de service.

Le 20 juin 2017 sortait la seconde extension de Final Fantasy 14, Stormblood. Des pirates ont tenté de perturber ce lancement par un déni distribué de service (DDoS). « Aujourd’hui, les botnets comme celui qui a affecté les serveurs du jeu Final Fantasy 14 n’ont pas de limites. Chaque imprimante, console de jeux ainsi que n’importe quel appareil connecté à internet peut être utilisé par un botnet pour lancer une attaque par déni de service (DDoS). confirme Jean- Baptiste Souvestre, Software Engineer, chez Avast. Jusqu’à présent, les cybercriminels ont seulement pu exploiter cette méthode pour paralyser ou prendre le contrôle de sites internet, des actions ennuyeuses mais sans mise en danger vital. En ce qui concerne les conséquences sur Final Fantasy, les attaques DDoS en particulier n’entrainent pas de perte de données relatives aux personnages ou bien au profil de l’utilisateur mais elles peuvent nuire à la performance et à l’expérience de jeu ».

En réalité, le pouvoir de ce type de piratage ne cessera d’augmenter. A l’avenir, nous pourrions voir de nombreuses attaques entièrement autonomes et basées sur l’intelligence artificielle qui opèreront de façon indépendante, sauront s’adapter pour échapper aux outils de détection, et prendront les décisions seules, exposant ainsi les services digitaux et les infrastructures web à des risques encore plus importants.

C’est pourquoi nous devons tous nous montrer responsables en prenant des mesures proactives pour protéger nos systèmes et équipements, quelle que soit l’activité à partir du moment où nous sommes connectés à internet. Cela passe notamment par l’utilisation de mots de passe forts et uniques, mais également par l’installation de solutions de sécurité afin de prévenir toute attaque. En outre, la mise en place d’un anti-malware fait partie des bonnes pratiques à adopter, à la fois par les particuliers et les entreprises. Enfin, dès lors qu’un utilisateur soupçonne qu’une attaque est en cours au cœur de ses appareils, il doit contacter son fournisseur d’accès à internet afin que ce dernier puisse analyser immédiatement si tout est normal sur le réseau ou bien si un hacker est parvenu à s’infiltrer. Si tel est le cas, les mesures nécessaires pourront être appliquées pour l’arrêter avant qu’il ne parvienne à ses fins.

APT, Base de données, BYOD, Chiffrement, Cloud, Cybersécurité, Entreprise, Mise à jour, Securite informatique

Les risques, les vulnérabilités, les licences des logiciels open source

Les risques concernant la sécurité et la conformité des composants tiers atteignent des proportions incontrôlables, et menacent l’intégrité même de la chaîne d’approvisionnement de logiciels.  Il suffit de voir l’impact de la faille Heartbleed pour s’en convaincre !

Aujourd’hui, les entreprises incluent davantage de code open source que d’éléments conçus en interne ou propriétaires dans leurs produits.  Malheureusement, en profitant de ces logiciels open source (OSS) pour accélérer le développement de leurs produits, la plupart d’entre elles ne respectent pas les licences open source associées à ces composants.  Bien que les OSS soient gratuits, leurs utilisateurs ne sont pas pour autant libres de toute obligation les concernant.  Celles-ci peuvent aller de la reproduction de déclarations de droits d’auteur ou d’une copie d’un document de licence à la divulgation de l’intégralité du code source de leurs produits.  Des enquêtes récentes ont montré que la plupart des entreprises ne connaissent qu’un faible pourcentage des composants open source sur lesquels elles s’appuient, et ne sont donc pas en mesure de respecter les obligations indiquées dans les licences de ces éléments.  En outre, ces logiciels peuvent comporter des bugs ou des vulnérabilités susceptibles d’affecter votre produit.  Sans un suivi adéquat, ce dernier peut passer à côté de mises à jour ou de patches corrigeant des vulnérabilités connues. Mais malgré cela l’open source offre de précieux avantages.

Découverte, gestion et conformité en cinq étapes

Face aux problématiques de conformité ou de gestion des vulnérabilités des OSS, la première question est généralement : « Comment savoir quels composants open source nous utilisons ? » Il est possible de mieux comprendre ce que l’on fait et de mettre en place un processus pour découvrir, gérer et s’assurer de la conformité avec ces OSS en cinq étapes.

Étape 1 :  comprendre comment les OSS sont introduits dans votre entreprise

Les OSS peuvent s’introduire de différentes façons.  Cas classique : un développeur décide d’utiliser un composant open source, télécharge le code source, et l’intègre au produit.  Ce cas est encore très fréquent, mais il existe bien d’autres scénarios.  Très souvent, les développeurs utilisent ce qu’on appelle des gestionnaires de référentiels (repository manager).  Ces outils leur permettent d’indiquer les composants qu’ils veulent utiliser, puis s’occupent eux-mêmes d’en télécharger le code source ou des fichiers binaires compilés. Ces gestionnaires stockent généralement les composants open source dans un référentiel distinct, hors du système classique de gestion des codes source.  On peut notamment citer parmi eux Maven, Nuget ou npm.

Des éléments open source peuvent également être introduits dans une organisation en tant que sous-composant d’un composant open source plus important ou commercial.  Les composants de premier niveau ont très souvent plusieurs sous-composants ou dépendances open source, qui sont rarement divulgués ou gérés.

En outre, ces éléments serviront de pièces d’une infrastructure runtime, comme des serveurs Web, des systèmes d’exploitation ou des bases de données et peuvent permettre de contrer les risques.

Étape 2 :  chercher les OSS

Une fois que vous savez comment vos composants open source sont sélectionnés et utilisés, vous pouvez évaluer les risques et ceux dont vous avez besoin, et comment ils sont utilisés ou répartis.  On appelle ça dresser une nomenclature (Bill of Materials), ou une liste de divulgation.  Cette liste sert à suivre les obligations, à modifier les politiques vis-à-vis des OSS, et à réagir aux vulnérabilités rendues publiques.  Souvent, des paquets open source comporteront des termes de licence que votre organisation ne pourra pas respecter, ce qui pose automatiquement un problème de conformité.  Dans de tels cas, le composant en question devra être supprimé et la fonctionnalité remplacée, soit par un autre composant OSS, ou en écrivant une fonctionnalité équivalente.

L’examen du code base, les risques, la tenue d’entretiens et l’utilisation d’outils d’analyse de code peuvent être utiles dans le cadre de ce processus.

Étape 3 : questionner l’équipe de développement

Les projets devenant sans cesse plus vastes, complexes et distribués, il est de plus en plus difficile de découvrir l’ensemble des éléments utilisés.  Il est donc important d’avoir des échanges réguliers avec les développeurs, équipes DevOps, ainsi que l’ensemble du personnel informatique impliqué dans la création, le déploiement et la mise en œuvre du projet en question.  Posez-leur des questions ciblées, comme « Quelle base de données utilisons-nous ? », ou « Quelle bibliothèque de chiffrement utilisons-nous ? ».  Cela peut être utile pour découvrir d’autres modules potentiellement passés inaperçus la première fois.

Demander simplement « Quel code open source utilisons-nous » permet rarement de créer une liste complète pour un certain nombre de raisons, notamment à cause d’oublis ou de l’absence de registres adéquats.

Étape 4 : comprendre comment les OSS entrants sont gérés

La gestion des composants tiers et les risques doivent faire l’objet d’un processus cohérent et correctement appliqué.  Votre organisation pourra ainsi respecter ses obligations des licences open source, mais aussi faire face à de nouvelles vulnérabilités.  Il est fréquent de voir ce processus atteindre différentes étapes et niveaux de conformité.  Certaines organisations se contentent encore de suivre les composants « sollicités » par les développeurs.  Celles-ci n’ont souvent connaissance que des éléments les plus importants, ou découvrent que certains développeurs sont plus assidus que d’autres dans le cadre du respect du processus.

D’autres entreprises utilisent des outils d’analyse pour découvrir et suivre leurs OSS.  Leurs résultats varieront en fonction des solutions utilisées ou du niveau d’analyse.  Certains outils ne découvrent que les textes de licence, pas les composants open source. D’autres ne peuvent retrouver que les composants gérés par des gestionnaires de paquets.  Il est donc important de savoir quel niveau d’analyse est adopté et ce que l’on peut espérer repérer…

Étape 5 :  cherchez des preuves de conformité des OSS

Une fois toutes ces étapes franchies, il est important de confirmer la visibilité de cette conformité.  Les déclarations et autres avis légaux (droits d’auteurs) nécessaires sont-ils présents dans les produits ou leur documentation ?  Les textes des licences sont-ils visibles comme il se doit ?  Existe-t-il une offre écrite relative au code source ou ses distributions, et ciblant du contenu rendu libre que vous utilisez ?  Tous ces éléments seront les témoins visibles de l’efficacité de votre processus de gestion des composants open source.

En suivant ces cinq étapes, en sensibilisant votre personnel à l’utilisation adaptée des OSS, et en encourageant les membres de votre écosystème à en faire de même, vous pourrez créer des applications modernes et puissantes, tout en respectant les licences open source.

En outre, plus vous en savez sur les ingrédients, les éléments tiers et les vulnérabilités de votre produit, mieux ce dernier pourra être sécurisé et pris en charge ! (Par Christian Hindre – Directeur Commercial Europe de Flexera Software)

Cybersécurité, Justice, Mise à jour, Patch

Lutte contre le terrorisme, Google montre les dents ?

Le géant américain de l’Internet Google annonce renforcer sa lutte contre le terrorisme… un diffusant des vidéos contre la radicalisation.

Google vient d’annoncer dans le Financial Times, via la bouche de Kent Walker, qu’il allait renforcer sa lutte contre le terrorisme. Google et Youtube ont été montrés du doigt après la diffusion de vidéos de propagande terroriste. Google et Youtube ont donc décidé de renforcer leurs règles, dernièrement, face aux vidéos violentes ou déplaisants à leurs annonceurs. Bilan, des dizaines de Youtubeurs se retrouvent aujourd’hui avec des montants publicitaires divisés par 10. La grande majorité n’ont plus droit à la publicité pour diverses raisons.

Côté « terrorisme », Google a donc annoncé dans le journal économique, donc lu par les annonceurs, quatre nouvelles règles. « Nous ne sommes pas les seuls à procéder depuis des années déjà à l’identification et à la suppression de contenus qui enfreignent notre façon de faire. La vérité embarrassante, c’est qu’il nous faut bien reconnaître que nous devons en faire plus« , confirme Kent Walker dans le Financial Times.

Quatre nouvelles règles donc : d’abord plus d’experts humains qui pourront juger de la pertinence, ou non, d’une vidéo. Google annonce l’embauche de 50 personnes supplémentaires ; les robots, avec l’apprentissage des machines de contrôle ; un « logo » avertissement qui sera accolé aux vidéos de groupes religieux. Les vidéos resteront, mais elles n’auront pas de publicité. Dernier point, des vidéos anti propagande seront diffusées pour combattre la radicalisation.

A noter que la semaine dernière, Facebook a annoncé la création d’une team anti terroristes (150 personnes) et un partenariat avec Google pour participer à cette lutte.

Chiffrement, Communiqué de presse, Cybersécurité, Mise à jour, Patch, Securite informatique

Gemalto et Dessmann améliorent la sécurité du verrouillage intelligent

Verrouillage intelligent : Gemalto, société spécialisée dans la sécurité numérique, fournit une connectivité sécurisée et fiable à la nouvelle plate-forme de verrouillage intelligent de Dessmann. La nouvelle solution du fabricant mondial de serrures intelligentes et de coffres-forts intègre les modules d’identification de machine (MIM) et les éléments sécurisés (Secure Element – SE) de Gemalto, permettant aux utilisateurs de verrouiller et de déverrouiller des portes avec leurs smartphones ou de créer des porte-clés numériques utilisables sur plusieurs serrures.

Cette solution de verrouillage intelligent offre une sécurité accrue par rapport aux verrous traditionnels. L’application mobile peut être utilisée pour créer des clés virtuelles de rechange ou temporaires à distance et simplifier ainsi les services de colocation. La solution est capable, par exemple, de suivre et de savoir qui a débloqué une porte récemment. Cette dernière envoie également instantanément des notifications si une porte est forcée et peut déclencher automatiquement l’alarme intégrée dans le verrou.

Le marché de la serrure intelligente est amené à se développer rapidement ses prochaines années. Selon l’étude Transparency Market Research, sa croissance annuelle moyenne atteindra 18,3%, ce qui entraînera une augmentation substantielle de la valeur marchande, passant de 226,7 millions de dollars US en 2016 à 1,01 milliard de dollars d’ici 2024. En raison de la hausse du niveau de vie et des préoccupations liées à la sécurité physique et à la sureté, la région Asie-Pacifique devient rapidement un marché cible pour l’industrie de la serrure intelligente.

« La sécurité est au cœur de toute technologie innovante de verrouillage intelligent et demeure essentielle pour nous. Nous sommes constamment à l’affût d’une technologie complémentaire qui puisse améliorer la sécurité de nos produits et services », déclare ZHU Zhiling, PDG de Dessmann. « Gemalto dispose d’un catalogue de solutions et d’expertise dont nous avons besoin pour notre nouvelle serrure intelligente. Nous avons été immédiatement convaincus par la capacité du groupe à fournir des solutions de sécurité  de bout en bout ainsi qu’une feuille de route de la future connectivité optimisée pour l’IoT, comme LTE Cat NB-IoT ».

« Le monde adopte les technologies digitales à un rythme sans précédent, avec des maisons intelligentes qui sont en train de devenir la nouvelle clé de voûte de la vie connectée. Nous espérons que les verrous intelligents connectés feront partie intégrante de la vie quotidienne dans un avenir proche « , affirme Suzanne Tong-Li, Vice-Présidente de la Chine et de la Corée pour les Services Mobiles et l’IoT chez Gemalto. «Notre gamme complète de solutions et services IoT sécurisés aide les fabricants à atteindre le plus haut niveau de confiance pour les consommateurs, ce qui est essentiel pour les services comme les clés virtuelles ».

Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch, Securite informatique

Microsoft corrige 94 vulnérabilités via une mise à jour massive

Microsoft vient de publier les patches pour résoudre 94 vulnérabilités, dont 27 corrigent des problèmes d’exécution de code à distance (RCE) donnant à l’attaquant le contrôle à distance des machines ciblées. Il s’agit d’une mise à jour massive qui résout deux fois plus de vulnérabilités qu’au cours des deux derniers mois.

La priorité absolue va à la vulnérabilité CVE-2017-8543 qui, selon Microsoft, est actuellement exploitée en mode aveugle. Les attaquants peuvent contrôler totalement l’ordinateur ciblé en envoyant une requête SMB au service de recherche Windows. Sont concernés : Windows Server 2016, 2012, 2008 ainsi que des systèmes bureautiques comme Windows 10, 7 et 8.1. Cette vulnérabilité étant actuellement utilisée pour mener des attaques, nous recommandons aux entreprises d’appliquer les patches dès que possible. Autre vulnérabilité en cours d’exploitation, CVE-2017-8464 elle permet de prendre le plein contrôle d’une machine par le biais d’une exécution de code à distance via l’icône de raccourci LNK (Windows).

Microsoft a également publié l’avis de sécurité 4025685 qui concerne aussi des plateformes plus anciennes en raison d’un risque d’exploitation élevé.

Autre priorité élevée, CVE-2017-8527, la vulnérabilité qui affecte le moteur de rendu graphique de Windows et déclenchée lors de la consultation d’un site Web pirate conçu à l’aide de polices malveillantes. Similaires au problème de police évoqué ci-dessus, les vulnérabilités CVE-2017-8528 et CVE-2017-0283 peuvent être déclenchées lorsque des utilisateurs consultent du texte Unicode encodé dans un but malveillant. Les deux problèmes entraînent une prise de contrôle complète de la machine ciblée.

Il est conseillé aux entreprises qui utilisent Outlook de corriger CVE-2017-8507, l’une des vulnérabilités permettant d’envoyer des emails malveillants et de prendre le contrôle complet d’un système lorsque ces emails sont consultés depuis Outlook. Les vulnérabilités Office CVE-2017-0260 et CVE-2017-8506 peuvent être déclenchées suite à l’ouverture de documents Office malveillants. Elles doivent donc être corrigées dès que possible car Office est un vecteur assez simple à exploiter pour lancer des attaques de type ingénierie sociale.

Les patches pour Microsoft Edge et IE résolvent de nombreux problèmes d’exécution de code à distance (RCE) tandis que les vulnérabilités CVE-2017-8498, CVE-2017-8530 et CVE-2017-8523 revêtent une importance toute particulière car elles ont été divulguées publiquement mais aucune attaque n’a encore été observée à ce jour. Parmi les autres problèmes d’exécution de code à distance résolus par la mise à jour de juin citons les vulnérabilités CVE-2017-0291 et CVE-2017-0292 PDF pour Windows.

En résumé, nous avons affaire à une mise à jour de sécurité importante et qui résout un nombre deux fois plus élevé de vulnérabilités qu’au cours des deux derniers mois. La vulnérabilité SMB CVE-2017-8543 activement exploitée ainsi que d’autres problèmes affectant les polices, Outlook, Office, Edge et IE vont pleinement occuper les administrateurs système et les équipes de sécurité. (Publié par amolsarwate dans The Laws of Vulnerabilities)

Communiqué de presse, Cybersécurité, Entreprise, Mise à jour, Securite informatique

Cybersecurite: les approches des dirigeants US et Européen

CYBERSECURITE: UNE NOUVELLE ENQUETE RADWARE CHIFFRE LES DIFFERENCES D’APPROCHE DES DIRIGEANTS EN EUROPE ET EN AMERIQUE DU NORD.

Chaque année, Radware publie les résultats et l’analyse de son « Global Application & Network Security Report » qui portent sur  l’industrie de la cybersecurite et de la sécurité informatique dans son intégralité. Complémentaire, l’enquête Executive Application & Network Security Survey interroge uniquement des cadres et dirigeants de l’industrie pour comprendre les défis, les menaces les opportunités et leurs approches en matière de cyber sécurité.

Cette année, elle a révélé des tendances mondiales importantes, ainsi que des nuances notables entre les dirigeants américains et européens.

La Cybersecurite est une préoccupation croissante pour tous mais surtout l’Europe

En France, interrogés sur les projets prioritaires de leurs services informatiques, les dirigeants citent : l’amélioration de la sécurité (49%), l’amélioration de l’expérience client (39%) et la réduction des dépense opérationnelles (34%).

Au niveau global, près de la moitié des dirigeants interrogés (47%) citent l’amélioration de la sécurité informatique parmi leurs objectifs principaux. Cependant les européens semblent bien plus préoccupés par ce sujet puisqu’ils sont 88% à considérer cette mission comme très ou extrêmement critique, contre seulement 61% aux États-Unis. En Amérique, la priorité est donnée à la performance opérationnelle, citée par 50% des répondants contre 47% pour la sécurité.

En Europe 90% des répondants ont déclaré que la sécurité informatique est maintenant une préoccupation de haut niveau (c’est à dire des dirigeants et du conseil d’administration). 66% l’évaluent même comme «extrêmement important» soit une augmentation de 50% par rapport à l’année dernière.

75% des dirigeants européens se déclarent susceptibles de rapporter une attaque à leur hierarchie contre 36% pour les américains alors même que ces deux régions ne montrent pas de différence significative en termes d’activité malveillante. Quatre raison peuvent expliquer cette différence du simple au double :

  • Les équipes de cyber-sécurité américaines semblent moins disposées à communiquer sur ce qu’ils considèrent comme «non-événements», c’est-à-dire les attaques atténuées avec succès.
  • Les infrastructures de sécurité américaines souvent plus mûres sont capables de détection et d’atténuation automatique et proactive de certaines menaces ce qui ne donne lieu à aucun rapport à la direction.
  • Les entreprises européennes travaillent à renforcer leurs défenses, par conséquent, les équipes sont plus susceptibles de multiplier les rapports d’incidents pour justifier l’augmentation des budgets.
  • Les entreprises européennes opèrent dans des cadres législatifs plus stricts en matière de sécurité et de confidentialité des données.

Cybersecurite : L’Europe est plus susceptible de faire travailler des machines et des hackers repentits

En Europe, près de la moitié des cadres interrogés (46%) pensent que les systèmes de sécurité automatisés seront le principal atout de leur défense à moyen terme. Environ un quart (21%) pensent que le futur proche  sera composé d’un savant mélange d’humain et de machines. Un tiers (33%) font confiance aux systèmes automatisés plus qu’en l’humain contre moins d’un quart (24%) pour l’inverse.

Les résultats de cette année soulignent également que les dirigeants européens sont plus volontiers susceptibles d’embaucher d’anciens hackers pour travailler autour de leur cybersécurité. Ils sont 58%, contre seulement 27% chez leurs homologues américains.

De fait, parmi les cadres européens, travailler avec de véritables pirates informatiques est déjà une pratique courante. Ils sont près de la moitié (46%) à avoir déjà invité des pirates informatiques à tester les vulnérabilités de leurs systèmes. C’est significativement plus élevé qu’aux États-Unis, où seulement 31% des dirigeants disent que leurs entreprises ont déjà engagé des pirates pour des tests de vulnérabilité.

Après sondage sur la composition des équipes, on constate que la plupart s’appuient sur des talents internes (43%) ou des experts tiers (36%). Seulement 3% des équipes comportent un ancien hacker comme membre permanents. Seulement 8% des équipes sont une combinaison des trois profils alors même qu’elle est la plus pertinente pour lutter efficacement contre les attaques.

 L’Europe se repose sur ses fournisseurs d’accès à internet

En Europe, 51% des entreprises gèrent la sécurité au sein de leur propre organisation. Il y a cependant des différences notables selon les pays. Les  Royaume-Uni sont particulièrement intéressés par la gestion interne (71% contre 33% en France et 47% en Allemagne). 39% des entreprises délèguent la protection de leurs infrastructures à leur fournisseur d’accès à Internet 10% seulement la confient à un fournisseur de sécurité dédié.

Aux États-Unis, plus de la moitié des entreprises (54%) gèrent leur propre sécurité. Une part plus petite (26%) s’appuie sur leur fournisseur d’accès à Internet ou leur opérateur, tandis qu’un pourcentage presque deux fois plus élevé (19%) s’appuie sur un tiers spécialisé.

Cybersecurite : Vie privée contre opportunités commerciales

Qu’ils répondent en tant que chefs d’entreprises ou en tant que citoyens individuels, et quel que soit leur pays d’origine 80% des dirigeants interrogés estiment que le gouvernement devrait faire davantage pour protéger les informations personnelles. En Europe, 67% des cadres en moyenne considèrent que la vie privée n’est pas assez protégée par les législations existantes. Les résultats varient d’un pays à l’autre avec 61% pour la France, 63% pour l’Allemagne et 77% au Royaume-Uni.

Dans les pays européens, 83% des dirigeants ont déclaré que le gouvernement devrait faire davantage pour protéger la vie privée. Allemagne (94%) contre France (76%). Le Royaume-Uni est à 80%. Aux États-Unis, la conclusion était similaire, avec 66% indiquant que les lois actuelles mettent la protection de la vie privée en danger et 75% souhaiteraient que le gouvernement défendent plus activement la protection de la vie privée sur l’espace informatique.

Méthodologie

Mandaté par Radware, Merrill Research a mené cette enquête courant avril 2017 auprès de 200 dirigeants répartis de la sorte: 100 aux États-Unis et 100 en Europe (35 au Royaume-Uni, 33 en France et 32 en Allemagne). L’échantillon interrogé est composé de personnes travaillantes dans une entreprise générant au moins 250 million de dollars de chiffre d’affaire et affectées à des postes de vice-présidence ou supérieurs.

APT, Communiqué de presse, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Social engineering

Le cyberespionnage via les APT devient le pire cauchemar des entreprises

En France, plus de deux tiers (71 %) des DSI estiment que leur entreprise pourrait « certainement » être la cible de campagnes de cyberespionnage utilisant des menaces persistantes avancées (Advanced Persistent Threats – APT) selon une récente étude.

Les APT, des cyber-outils complexes conçus sur mesure pour attaquer des grandes entreprises ou organismes d’état, et collecter discrètement des données sensibles sur de longues périodes. 27 % des personnes interrogées considèrent que leur infrastructure informatique pourrait « éventuellement » être la cible d’actions de cyberespionnage de haut niveau visant à exfiltrer des informations de manière systématique.

Seule une petite minorité n’est pas préoccupée par les APT

L’année dernière, des entreprises de  grande envergure ont été confrontées à un nombre croissant d’incidents et de violations de sécurité, avec une augmentation significative des APT et des attaques ciblées visant aussi bien les entreprises que les entités gouvernementales (telles que APT-28 et, plus récemment, Netrepser). En fait, moins de 2% des DSI considèrent que les APT ne sont pas une menace réelle pour leur environnement de travail. Les inquiétudes sur la sécurité vont en se multipliant, et la question est de plus en plus souvent traitée par les conseils d’administration des entreprises. Les hauts responsables de services informatiques, tout comme les membres des conseils d’administration s’en préoccupent de plus en plus, non seulement parce qu’une violation de la sécurité peut leur coûter cher, mais aussi parce que le futur des entreprises est en jeu quand des données sensibles sont dérobées par des pirates informatiques.

Les risques ne sont pas toujours visibles, mais ils sont bien présents

Étonnamment, si 42% des DSI ont déclaré qu’il leur faudrait entre quelques semaines et un mois pour repérer une APT, 23% d’entre eux pensent qu’il leur faudrait entre deux mois et plus d’un an pour détecter les menaces modernes les plus sophistiquées. Preuve que de nombreux professionnels interrogés sont au courant et craignent ces menaces, mais qu’ils pensent ne pas être suffisamment bien protégés pour les détecter et les bloquer.

Selon Liviu Arsene, Analyste des e-menaces chez Bitdefender, « les cyberattaques peuvent passer inaperçues pendant des mois et, dans la plupart des cas, les violations proviennent de failles Zero-day ou de malwares s’attaquant au noyau du système. Ce sont précisément ces vulnérabilités que ciblent les APT, car elles leur évitent d’être détectées. Les exploits au niveau du noyau et les rootkits peuvent échapper aux solutions de sécurité traditionnelles pour endpoints et prendre le contrôle total du système d’exploitation. »

Les menaces persistantes les plus avancées ne se limitent pas aux attaques soutenues par des États : les entreprises peuvent également devenir les victimes de cybercriminels qui exploitent des vulnérabilités Zero-day pour diffuser des malwares extrêmement ciblés conçus pour les espionner et voler des éléments de propriété intellectuelle. L’enquête de Bitdefender confirme que les RSSI considèrent leurs concurrents comme les plus susceptibles d’attaquer leurs entreprises, dans le cadre d’un espionnage professionnel (66%), suivis des hackers (57%).Les cybercriminels soutenus par des Etats, les agences gouvernementales et les personnes en interne arrivent respectivement en 3ème, 4ème et 5ème position (51, 41 et 30%).

Les risques sont réels, et les entreprises doivent les limiter

76 % des responsables de services informatiques français estiment que la pire conséquence à craindre d’une attaque par une APT est d’ordre financier. En deuxième position on retrouve l’atteinte à la réputation (66%), suivie de la faillite (51%). Parmi les risques les plus sinistres, citons également la guerre ou les cyber-conflits (24%) ; et même un décès par suicide ou attaque cardiaque (14%).

Les entreprises ont surtout peur de perdre des informations relatives à leurs clients (52%), suivies des informations financières (47%), des recherches sur de nouveaux produits (37%), des informations sur certains employés (35%), des informations et de caractéristiques de produits (34%), leur propriété intellectuelle (34%) et leurs recherches sur la concurrence (20%).

Ainsi, 94 % des conseils d’administration estiment que la cybersécurité est un sujet critique dans la gestion des risques de l’entreprise, avec des conséquences sévères sur leur situation financière et leur réputation si elle est négligée. Seuls 4% ne lui accordent pas encore une telle importance. La plupart des entreprises (58%) ont un plan de réponse aux incidents et un plan de reprise après sinistre dans le cas d’une attaque par APT ou d’une violation de sécurité massive, et 40% reconnaissent qu’elles sont en train d’élaborer une stratégie en la matière. Moins de 2% n’ont adopté aucune procédure de ce type à ce jour, et n’’envisagent pas de le faire dans le futur.

Une sécurité multi-couches est la meilleure solution

64% des responsables informatiques français interrogés perçoivent la défense multi-couches, associant plusieurs politiques de sécurité et outils conçus pour combattre les menaces et intrusions modernes, comme étant la meilleure défense contre les menaces persistantes avancées. Les audits de sécurité, les solutions de nouvelle génération, la sécurité traditionnelle et la surveillance des journaux ont également été mentionnés par plus d’un tiers des sondés. (Bitdefender)

Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Mise à jour, Paiement en ligne, Patch, Piratage

SIG : Attaque contre la billetterie d’un club de basket Français

2 commentaires

Un pirate informatique s’est attaqué à la billetterie web du club de basket SIG de Strasbourg. Bilan, plus possible d’acquérir sa place pour la finale Pro A.

Quelles étaient les motivations du pirate informatique ayant visé la billetterie du basket club de Strasbourg, le SIG ? Mettre la main sur les données des supporters ? Ou tout simplement perturber le fonctionnement de la billetterie du club pour empêcher les fans du SIG de venir supporter leur club ? Toujours est-il que, comme l’explique La Dernière Nouvelles d’Alsace, l’ouverture de la billetterie pour le match 3 de la finale de Pro A contre Chalon s’est retrouvée retardée par ce qui semble être une attaque DDoS, ou une injection SQL trop violente. Bilan, le système c’est mis en panne et a généré un message qui a empêchait les fans d’acheter leurs places : « Erreur de communication avec le serveur d’authentification ».

Afin de refuser tout comportement frauduleux la vente a été suspendue. Cette cyber-attaque n’a eu et n’aura aucune incidence sur la sécurité de vos paiements confirme le SIG Strasbourg.

Android, Cybersécurité, IOT, Mise à jour, Patch, Sécurité, Smartphone, Téléphonie

Des publicités malveillantes détectées sur Android

Publicités malveillantes dans votre smartphone ! Il y a quelques jours, l’équipe du Threatlabz Zscaler a identifié une application Android se téléchargeant d’elle-même à partir de publicités postées sur des forums. Le malvertising est un problème qui ne cesse de prendre de l’ampleur. Ces publicités se retrouvent principalement sur des sites SSL à visée malveillante. Sur l’un de ces forums baptisé « GodLike Productions », les visiteurs se sont plaint d’une application se téléchargeant automatiquement mais leurs messages ont été supprimés ou ignorés par les administrateurs permettant à la situation de se perpétuer. Dans ce cas particulier, l’App se présente sous la forme d’une « mise à jour sécurité » afin que l’utilisateur termine son installation.

Une fois le package APK téléchargé et installé, l’application se présente sous le nom de « KS Clean », une application de nettoyage Android. L’application affiche ensuite un faux message de mise à jour système où la seule option possible est de cliquer sur le bouton « OK » forçant ainsi l’usager à accepter le message.

Dès que ce dernier accepte, le malware lance l’installation d’un autre APK nommé Update. Lorsqu’elle est ouverte, l’App Update demande les droits d’administration. Une fois les droits obtenus, il est impossible de désinstaller l’application de l’appareil car un utilisateur ne peut pas supprimer une app ayant des droits d’administration. Habituellement, il est possible de retirer les privilèges à l’application dans les paramètres mais dans ce cas de figure, l’app se fait passer pour un récepteur Android pour garder ses privilèges.

Cette vidéo (activer les sous-titres en amont) montre la manière dont le téléphone se bloque lorsque la victime essaie de retirer les privilèges administrateur de l’application.

Cette App est capable de :

  • Lire/Ecrire l’historique
  • Installer/Désinstaller des fichiers système
  • Changer les permissions
  • Télécharger sans autorisation

L’application effraie l’utilisateur en lui faisant croire qu’il y a une faille de sécurité sur son appareil et qu’il doit faire une mise à jour pour éviter de perdre ses informations personnelles. Lorsqu’elle est installée, l’App ne peut plus être supprimée et le malware peut pousser des publicités même si une autre App est déjà lancée. Les utilisateurs Android peuvent prendre les mesures suivantes pour éviter d’être atteints par cette menace :

  • Ne pas cliquer sur des liens inconnus
  • Désactiver les « sources inconnues »
  • Désactiver le téléchargement automatique dans les navigateurs Android
Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Social engineering

Turla : Instagram détourné pour espionner

Turla, le groupe de cyberespionnage qui cible des représentants de gouvernements et des diplomates, aurait lancé une nouvelle attaque en se servant d’Instagram.

Turla aime Britney Spears ? En février 2017, la société Forcepoint a publié une liste de sites Internet récemment compromis. Les cybercriminels utilisent la technique d’attaque de trou d’eau, qui vise à rediriger les victimes ayant cliqué sur un site compromis vers leurs serveurs C&C. Les chercheurs ESET ont repéré une extension de Firefox qui utilise une URL bit.ly pour renvoyer vers les serveurs C&C. Le chemin de l’URL est diffusé via des commentaires d’une publication Instagram. Dans l’échantillon analysé, l’un des commentaires s’affiche sur une photo du compte officiel de Britney Spears.

Pour obtenir l’URL bit.ly, l’extension scrute les commentaires de chaque photo et pour chaque commentaire en calcule un hash. Si la valeur de hash correspond à un code de déclenchement, l’extension exécute une opération pour convertir le commentaire en URL.

« L’utilisation par Turla des réseaux sociaux pour récupérer les adresses C&C ne facilite pas la tâche aux chercheurs en cybersécurité. Il est difficile de distinguer le trafic malveillant du trafic légitime sur les réseaux sociaux, » explique Jean-Ian Boutin, Senior Malware Researcher chez ESET. Par ailleurs, cette technique offre plus de souplesse aux pirates : « comme l’information nécessaire pour obtenir l’URL du serveur C&C n’est autre qu’un commentaire sur les réseaux sociaux, le cybercriminel a la possibilité de le modifier ou de l’effacer à tout moment, » poursuit Jean-Ian Boutin.

Pour éviter d’être infecté par une attaque de trou d’eau de ce type, les chercheurs ESET recommandent de :

Mettre à jour les navigateurs et les plugins des navigateurs ;
Eviter de télécharger ou d’installer des extensions venant de sources non vérifiées ;
Utiliser une solution de sécurité (à jour) capable de détecter les sites Internet compromis.

Seuls 17 clics ont été enregistrés sur ce lien en février lorsque le commentaire a été posté. Le nombre étant relativement faible, on peut supposer qu’il s’agit d’un test pour une attaque de plus grande envergure.

Android, Communiqué de presse, Cybersécurité, Mise à jour, Patch, Smartphone, Social engineering, Téléphonie

Dvmap : Un nouveau Trojan Android téléchargé 50 000 fois

Des experts ont découvert un nouveau Trojan peu commun, qui se propage via Google Play Store sous la forme d’un jeu.

Baptisé Dvmap, ce Trojan est non seulement capable d’obtenir les droits d’accès root de n’importe quel smartphone Android, mais il peut également prendre le contrôle de l’appareil en injectant un code malveillant dans la bibliothèque système (system library). Si l’attaque réussit, il supprime l’accès root, ce qui lui permet de ne pas être détecté. Ce Trojan a été téléchargé depuis Google Play plus de 50 000 fois depuis mars 2017.

Kaspersky Lab a signalé ce Trojan à Google, qui l’a depuis retiré de sa marketplace.

Pour contourner les contrôles de sécurité de la plate-forme, les créateurs du malware ont mis en ligne une application saine à la fin du mois de mars 2017. Ils l’ont ensuite mise à jour avec une version malveillante pendant une courte période, avant de remettre en ligne une version saine. En seulement 4 semaines, ils ont réalisé cette opération au moins 5 fois.

« Le Trojan Dvmap marque un nouveau développement des malwares Android. Le code malveillant s’injecte directement dans les bibliothèques système, où il est plus difficile à détecter et supprimer. Nous pensons avoir découvert le malware à un stade très précoce . Notre analyse montre que les modules malveillants rendent compte de leurs moindres mouvements aux attaquants et certaines techniques peuvent entrainer une panne des appareils infectés. Il n’y a pas de temps à perdre si nous voulons éviter une attaque de grande envergure, » explique Roman Unuchek, Senior Malware Analyst, Kaspersky Lab.

Pour en savoir plus, consultez le rapport complet de Kaspersky Lab : https://securelist.com/78648/dvmap-the-first-android-malware-with-code-injection/

Cloud, Cybersécurité, Entreprise, Mise à jour, Patch

Cloud Hybride : le meilleur du Cloud !

Avoir accès à ses données, partout dans le monde, quelle que soit l’heure, les entreprises ne peuvent plus s’en passer. Gagner en compétitivité, améliorer sa réactivité, bref gagner du terrain. Le cloud Hybride permet de garder cette longueur d’avance.

Mais qu’est-ce que le Cloud Hybride ? Le Cloud Hybride est la combinaison des environnements Cloud Privé et Cloud Public qui permet de répondre à toutes les exigences de l’entreprise.

De façon plus large, on parle maintenant d‘Hybrid IT : le choix d’une option technique, stratégique ou non, ne doit pas interdire de faire cohabiter d’autres options ou alternatives. C’est la condition nécessaire, pour les entreprises, de préserver leur flexibilité. Elles se préoccupent à juste titre de l’interopérabilité et de la réversibilité, ce qui les pousse souvent à se tourner vers des écosystèmes de partenariats efficaces et ouverts.

L’informatique hybride, la solution indispensable ?

Selon l’institut Gartner, l’informatique hybride transforme les architectures informatiques et le rôle de l’informatique elle-même. Elle est « le résultat de la combinaison et de l’utilisation simultanée de services internes et basés sur le Cloud pour répondre aux besoins informatiques d’une organisation, qui peuvent varier d’une application à l’autre. »

L’informatique hybride permet une réelle optimisation, – ajoute le Gartner – alors que dans les services antérieurs de Cloud computing, une telle flexibilité devait généralement être construite sur mesure, par entreprise.

Dans cette perspective, Gartner prévoit un changement majeur à venir. D’ici à 2020, 90% des organisations utilisant des services basés sur le cloud vont opter pour une infrastructure hybride. Les dépenses pour le Cloud computing hybride, en tant que services, devraient augmenter de 23,3 milliards de dollars à 68,4 milliards d’années d’ici à 2020

Le leader du secteur, Hewlett Packard Enterprise (HPE), propose des nouvelles solutions d’infrastructure hybride, notamment grâce à un nouveau type d’infrastructure composable (HPE Synergy), mais également des services d’accompagnement, et s’appuie sur un réseau de partenaires/prestataires de services (hébergeurs, datacenters, réseaux…) qui renforce l’efficacité du cloud, et permet de répondre aux besoins des entreprises, quelle que soit leur taille.

Les Service Providers, pilier important des solutions de Cloud hybride

La modernisation de l’informatique et sa capacité à « bouger » sont essentielles pour qu’une entreprise reste compétitive, efficace et sécurisée.

Dans ce contexte, il est clair que la DSI se modernise elle-même : elle sait anticiper, elle devient plus que jamais conseil, prestataire de services IT ou ‘broker de services », pour le grand bénéficie des métiers. C’est ainsi qu’elle s’active à pousser l’innovation attendue de la transformation digitale.

Le besoin de cartographier les attentes futures en matière d’IT et les partenaires potentiels pour la mise en place de solutions hybrides devient crucial.

Dans ce contexte, HPE soutient le projet Cloud28+, dont l’ambition est de proposer une plateforme de fédération de services Cloud au niveau mondial afin de faciliter la mise en relation entre fournisseurs de services, éditeurs et entreprises. Cloud28+ est une communauté qui regroupe aujourd’hui 427 membres à travers le monde et plus de 1 600 Services Cloud publiés.

Le pilotage : le nouveau défi du cloud hybride

Si le cloud aide à résoudre certains problèmes liés aux silos technologiques au sein des entreprises, la gestion de différents types de Clouds, voire de différents fournisseurs de services de Cloud crée une nouvelle complexité : le pilotage de l’ensemble pour assurer l’optimisation des coûts et l’application des règles de sécurité devient le nouveau défi à résoudre. Afin de résoudre celui-ci, des solutions de Cloud Management Platform (CMP) deviennent indispensables et peuvent être disponibles installées directement chez les clients ou hébergées chez fournisseurs de services. HPE peut vous aider à choisir la solution de CMP la plus adaptée à vos enjeux et votre contexte business, et vous accompagner dans son déploiement.

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Patch

Sécuriser son achat sur Internet : nouvelle version de la technologie Verified by Visa

Sécuriser son achat sur Internet ! Visa lance une nouvelle version de la technologie Verified by Visa pour sécuriser et simplifier davantage les paiements en ligne

Sécuriser son achat sur Internet ! Visa annonce l’amélioration prochaine de son service Verified by Visa, une solution globale conçue pour rendre les paiements en ligne plus sûrs en s’assurant que ces paiements soient effectivement réalisés par le titulaire du compte Visa. La nouvelle version apportera aux institutions financières et aux commerçants des données de transaction enrichies permettant une meilleure authentification des consommateurs, réduisant ainsi les cas de fraude pour les achats effectués à partir d’un navigateur Internet fixe ou mobile, d’une application ou d’un objet connecté. Dans le cadre de cette mise à jour, Visa renforce ses systèmes pour soutenir
3-D Secure 2.0, la nouvelle génération de la plateforme de sécurité créée par Visa et servant de socle technologique au service Verified bv Visa.

Grâce à la mise à jour de 3-D Secure 2.0, les émetteurs de moyen de paiement Visa et les commerçants auront plus d’options pour personnaliser le processus d’authentification et rendre l’expérience d’achat toujours plus rapide et ergonome. Bref, Sécuriser son achat sur Internet deviendra plus efficace encore. En construisant un canal de partage d’informations en temps réel et collaboratif, Visa améliore le transfert de données entre commerçants et émetteurs qui accèdent ainsi accès à une masse d’informations inédite relative aux transactions (type d’appareil, adresse de livraison…),  et peuvent vérifier en temps réel l’identité de leurs clients avec davantage d’exactitude. Les études montrent que la durée de règlement des paniers d’achat peut être réduite de 85% avec le nouveau système, et qu’il pourrait y avoir jusqu’à 70%  de diminution du taux d’abandon de panier.

Sécuriser son achat sur Internet

« Les technologies d’authentification ont énormément évolué depuis l’époque des bandes magnétiques et des signatures, tout comme notre manière de payer : d’où le besoin d’innovation pour assurer la sécurité des achats. La grande majorité des Européens utilise aujourd’hui un appareil mobile pour effectuer des paiements, mais la fraude et les problèmes de sécurité restent le frein numéro un à l’adoption, » remarque Mike Lemberger, Senior Vice President, Product Solutions Europe, Visa.

« En soutenant le développement de la plateforme 3DS 2.0, nous sommes en mesure d’offrir un service d’authentification amélioré qui rend ces paiements à la fois plus rapides et mieux sécurisés. Cela permet aux e-commerçants européens de s’attaquer à l’enjeu stratégique des abandons de paniers. Cette mise à jour apporte également tous les outils nécessaires pour se conformer aux dispositions de la Directive Service de Paiement 2 (DSP2) pour les paiements par carte : un avantage majeur qu’il ne faudrait pas sous-estimer. »

Pour donner du temps aux émetteurs de moyens de paiement Visa et aux commerçants de tester, réaliser des pilotes et déployer les solutions, les règles actuelles s’appliquant aux tests commerçants pour les transactions utilisant 3-D Secure s’étendront jusqu’à la version mise à jour début avril 2019. Les commerçants et les émetteurs travaillent déjà à la mise en place de la nouvelle version et Visa prévoit son adoption à partir du deuxième semestre 2017. Visa collaborera avec ses clients et ses partenaires dans le monde entier pour accompagner le déploiement et l’utilisation des nouvelles solutions 3-D Secure 2.0, au service de la sécurité des paiements et d’un meilleur taux d’autorisation des transactions, pour assurer une expérience fluide et intuitive du paiement digital.

Cette nouvelle version ayant la capacité de fonctionner sur de multiples appareils (mobile, app, navigateur Internet), elle aidera à renforcer la protection des consommateurs, quels que soient le lieu et le mode de paiement choisi. L’étude Digital Payments 2016 de Visa, qui a interrogé plus de 36 000 consommateurs européens, révèle que trois fois plus d’entre eux effectuent régulièrement des paiements avec un appareil mobile par rapport à 2015 (54% contre 18%). Les améliorations permettront aussi l’intégration future de technologies de paiement dans l’Internet des Objets, alors que Gartner prévoit plus de 20,8 milliards d’objets connectés d’ici 2020. L’amélioration de l’authentification basée sur le risque atténuera les points de friction en réduisant les étapes supplémentaires de vérification, tels que les mots de passe statiques ou les codes PIN, lors d’un achat quel que soit le terminal utilisé.

Android, Cyber-attaque, Cybersécurité, escroquerie, ID, Identité numérique, Mise à jour, Particuliers, Patch, Piratage, Smartphone, Social engineering, Téléphonie

Judy : Potentiellement la plus grande campagne de malwares détectée sur Google Play

Les chercheurs de chez Check Point viennent de découvrir une nouvelle menace baptisée JUDY, passée sous le radar de la sécurité de Google Play.

Ce malware de publicité frauduleuse est contenu dans 41 applications d’une société Coréenne. Son principe est simple : il produit un grand nombre de clics sur de la publicité, et génère ainsi un revenu important pour les créateurs des applications malveillantes. Check Point estime le nombre de victimes entre 4,5 et 18 millions. Le code malicieux est présent sur Google Play depuis des années, mais il est impossible de savoir depuis quand exactement.

Les applications malveillantes ont atteint un écart étonnant entre 4,5 millions et 18,5 millions de téléchargements. Certaines des applications découvertes résident sur Google Play pendant plusieurs années, mais toutes ont été récemment mises à jour. On ne sait pas combien de temps existe le code malveillant dans les applications, d’où la diffusion réelle du malware reste inconnue.

Cyber-attaque, Cybersécurité, escroquerie, ID, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Social engineering

Les sous-titres de films dangereux sur le web ?

Un commentaire

Des chercheurs ont étudié un nouveau vecteur d’attaque, les sous-titres, menaçant des centaines de millions d’utilisateurs de lecteurs multimédias populaires, dont notamment VLC, Kodi (XBMC), Popcorn Time et Stremio.

En créant des sous-titres malveillants, qui sont ensuite téléchargés par les téléspectateurs, des agresseurs peuvent potentiellement prendre le contrôle total de tout appareil utilisant les plates-formes vulnérables.

« La chaîne d’approvisionnement des sous-titres est complexe. Il existe plus de 25 formats de sous-titres différents, tous dotés de fonctionnalités uniques. Un tel écosystème fragmenté, avec une sécurité limitée, signifie qu’il existe de multiples vulnérabilités qui pourraient être exploitées, ce qui en fait une cible extrêmement attrayante pour les agresseurs, » déclare Omri Herscovici, vulnerability research team leader chez Check Point. « Nous avons actuellement découvert que des sous-titres malveillants peuvent être créés et automatiquement diffusés à des millions d’appareils, en contournant les logiciels de sécurité et en donnant aux agresseurs un contrôle total sur les appareils infectés et les données qu’ils détiennent. »

L’équipe de recherche a découvert des vulnérabilités dans quatre des lecteurs multimédias les plus populaires, VLC, Kodi, Popcorn Time et Stremio, et a suivi les bonnes pratiques de communication responsable pour signaler les vulnérabilités. En exploitant les vulnérabilités de ces plates-formes, des pirates étaient en mesure d’utiliser des fichiers malveillants pour prendre le contrôle des appareils équipés de lecteurs de médias vulnérables.

Les sous-titres des films ou des émissions de télévision sont créés par une grande variété d’auteurs de sous-titres, et sont téléchargés sur des sites de partage tels que OpenSubtitles.org pour indexation et classement. Les chercheurs de Check Point ont également démontré qu’en manipulant l’algorithme de classement de ces sites, les sous-titres malveillants peuvent être automatiquement téléchargés par le lecteur multimédia, ce qui permet aux pirates d’exercer un contrôle total sur toute la chaîne d’approvisionnement des sous-titres sans nécessiter d’interaction de la part des utilisateurs.

Depuis que ces vulnérabilités ont été signalées, les quatre entreprises les ont corrigées. Stremio et VLC ont également publié de nouvelles versions de leurs logiciels intégrant cette correction. « Pour se protéger et minimiser le risque d’attaque, les utilisateurs doivent mettre à jour leurs lecteurs en streaming, » conclut M. Herscovici.

La dernière version de VLC publiée le 5 juin 2016 a été téléchargée plus de 170 millions de fois. Kodi (XBMC) compte plus de 10 millions d’utilisateurs uniques par jour et près de 40 millions d’utilisateurs uniques par mois. Aucune estimation actuelle n’existe quant aux utilisateurs de Popcorn Time, qui sont cependant estimés à des dizaines de millions. Check Point a des raisons de croire que des vulnérabilités similaires existent dans d’autres lecteurs multimédias.

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch

Sécurité informatique : six Faiblesses dans les installations Industrielles

FireEye annonce avoir identifié six faiblesses majeures que des individus mal intentionnés peuvent utiliser pour saboter le fonctionnement d’installations industrielles. Les entreprises industrielles telles que les fournisseurs d’électricité, les compagnies pétrolières et les industries lourdes investissent lourdement dans des systèmes de contrôle industriels (ICS) pour faire fonctionner des processus industriels de façon efficace, fiable et sûre. Sans les technologies présentes dans leurs usines, leur activité n’existerait pas. Mais les administrateurs, les dirigeants et les responsables de la sécurité n’ont souvent pas conscience que les technologies qui gèrent le moteur économique de leurs entreprises sont perméables à des attaques non détectées.

Protocoles non authentifiés : Lorsqu’un protocole ICS n’est pas authentifié, n’importe quel ordinateur sur le réseau peut envoyer des commandes qui altèrent les processus industriels. Ceci peut mener à des processus incorrects, endommageant des biens, détruisant des équipements, blessant du personnel ou dégradant l’environnement. Matériels obsolètes: Les matériels des systèmes de contrôle peuvent être opérationnels depuis des décennies. Ils peuvent fonctionner de façon trop simpliste ou ne pas disposer de la puissance de traitement et de la capacité mémoire nécessaires pour gérer l’environnement de menaces qui caractérise les technologies  réseau d’aujourd’hui. Authentification des utilisateurs trop faible : Les faiblesses en matière d’authentification des utilisateurs dans les systèmes de contrôle traditionnels comprennent souvent des mots de passe statiques programmés en dur, des mots de passe faciles à craquer, des mots de passe stockés dans des formats facilement récupérables, et des mots de passe envoyés en clair. Un attaquant qui obtient ces mots de passe peut souvent interagir à sa guise avec les processus sous contrôle. Contrôles insuffisants de l’intégrité des fichiers : L’absence de ‘software signing’ permet aux attaquants d’abuser les utilisateurs, qui installent à leur insu des logiciels qui ne proviennent pas de leur fournisseur légitime. Elle permet aussi aux attaquants de remplacer des fichiers légitimes par des fichiers malicieux. Systèmes d’exploitation Windows vulnérables : Beaucoup de systèmes industriels fonctionnent souvent sous des systèmes d’exploitation Windows non patchés, ce qui les expose à des vulnérabilités connues. Relations avec des tiers (fournisseurs, partenaires…) peu ou mal documentées : Beaucoup de fournisseurs de systèmes de contrôle industriels peuvent ne pas connaître parfaitement les composants utilisés par des tiers, ce qui rend difficile pour eux d’informer leurs propres usagers des vulnérabilités sous-jacentes. Des assaillants au courant de ce manque d’information peuvent cibler un logiciel que l’industriel n’a même pas conscience d’utiliser.

Installations industrielles

“Les sites industriels dépendent de plus en plus de systèmes connectés et de capteurs pour assurer leur bon fonctionnement, mais la cyber sécurité sur la plupart de ces sites n’est pas du tout ce qu’elle devrait être. Une compréhension claire des faiblesses communes aux environnements industriels aide les dirigeants et les responsables informatiques à aborder le sujet de la sécurité en toute connaissance de cause, à se poser les bonnes questions, et à investir à bon escient” déclare Sean McBride, Attack Synthesis Lead Analyst chez FireEye.

 

Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Vulnérabilités : Microsoft corrige son moteur de protection anti-Malware

Quelques heures avant la diffusion de son Patch Tuesday, Microsoft a publié une mise à jour urgente qui corrige une vulnérabilité au sein de son moteur de protection anti-Malware (Malware Protection Engine). Cette vulnérabilité critique permet à un attaquant de prendre le plein contrôle de la machine ciblée en envoyant tout simplement un courrier avec une pièce jointe malveillante. Lorsque le moteur de protection anti-malware analyse la pièce jointe, le code malveillant présent dans le fichier s’exécute et donne à l’attaquant un accès complet et total à l’ordinateur ciblé. L’attaque peut également être menée en envoyant le fichier par l’intermédiaire d’un message instantané ou en persuadant la victime de télécharger le fichier depuis un site Web. Il est absolument essentiel que les entreprises qui utilisent Microsoft Malware Protection Engine vérifient qu’elles disposent bien de la version 1.1.10701.0 ou supérieure. En outre, elles doivent vérifier si elles ont bien déployé le correctif pour la vulnérabilité CVE-2017-0290 qui vient d’être publié pour résoudre même problème.

Dans ce Patch Tuesday de mai, Microsoft publie des correctifs pour un total de 57 vulnérabilités. La priorité absolue va à la correction des vulnérabilités 0-Day activement exploitées. Au top de notre liste, le patch pour Office destiné à corriger la vulnérabilité CVE-2017-0261 qui est déclenchée lorsqu’un utilisateur ciblé ouvre un fichier Office contenant une image graphique déformée. Le fichier peut être envoyé par email ou tout autre moyen. Comme cette vulnérabilité est activement exploitée en aveugle et que les attaquants peuvent prendre le plein contrôle du système visé, elle doit être traitée de manière prioritaire.

La vulnérabilité CVE-2017-0222 se trouve également en haut de notre liste car elle affecte Internet Explorer dont les utilisateurs peuvent être compromis s’ils se rendent sur un site Web malveillant hébergé par des attaquants. Ce correctif est prioritaire car la vulnérabilité est actuellement exploitée en aveugle et les attaquants peuvent prendre le plein contrôle du système ciblé.

La priorité suivante revient à CVE-2017-0229, la vulnérabilité qui touche le navigateur Edge et qui a été divulguée publiquement avant la publication de ce Patch Tuesday. Grâce à cette faille, un attaquant peut prendre le contrôle total de la machine ciblée lorsqu’un utilisateur navigue sur des sites malveillants à l’aide d’Edge.

Ensuite, la priorité va à trois vulnérabilités critiques au sein du protocole SMB avec exécution de code à distance (CVE-2017-0277, CVE-2017-0278 et CVE-2017-0279) qui affectent les serveurs Windows ainsi que les postes de travail clients. Ce problème est lié à la manière dont le serveur Microsoft Server Message Block 1.0 (SMBv1) traite certaines requêtes. En effet, un attaquant parvenant à exploiter cette vulnérabilité pourrait exécuter du code sur la machine ciblée. Dans la plupart des cas, pour exploiter cette vulnérabilité, un attaquant non authentifié enverra un paquet malveillant au serveur SMBv1.

Microsoft a profité de ce Patch Tuesday pour publier des mises à jour pour Microsoft Edge et Internet Explorer 11 pour empêcher le chargement de sites protégés par l’algorithme SHA-1 et afficher un avertissement de certificat non valide. Ce changement impactera uniquement les certificats SHA-1 chaînés à un certificat racine faisant partie du programme de certificats racines de confiance Microsoft où le certificat de l’entité finale ou de l’autorité de certification intermédiaire s’appuie sur l’algorithme SHA-1. Les certificats SHA-1 installés manuellement dans les entreprises ou auto-signés ne seront pas concernés par cette mesure.

En résumé, la publication d’aujourd’hui permet de corriger 3 vulnérabilités activement exploitées ainsi que 4 vulnérabilités divulguées publiquement dont celles affectant le moteur de protection anti-logiciels malveillants Microsoft, Office, IE, Edge et le protocole SMB. Gardez également en mémoire que Microsoft a déprécié les certificats SHA-1 pour IE et Edge. (Publié par amolsarwate dans The Laws of Vulnerabilities)

backdoor, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch

Du matériel IBM infiltré par un code malveillant dès l’usine

Un outil pirate découvert dans du materiel IBM destiné à certains serveurs du géant de l’informatique. Une fois branchée, elle télécharge un logiciel d’espionnage.

Ambiance espionnage numérique dans les bureaux d’IBM. Le géant de l’informatique vient d’alerter ses clients que des clés USB fournies avec les systèmes IBM Storwize V3500, V3700 et V5000 Gen 1 contiennent un fichier qui a été infecté par un code malveillant. Ni les systèmes de stockage IBM Storwize, ni les données stockées sur ces systèmes ne sont infectés par ce code malveillant. En attendant, dès qu’elle est connectée cette clé USB télécharge un cheval de Troie, un logiciel d’espionnage.

Lorsque l’outil d’initialisation est lancé depuis le lecteur flash USB, ce dropper (logiciel qui va télécharger un autre programme, NDR) se reproduit dans un dossier temporaire sur le disque dur du bureau ou de l’ordinateur portable en fonctionnement normal. Avec cette étape, le fichier malveillant est copié avec l’outil d’initialisation vers le dossier temporaire suivant:

Sur les systèmes Windows:% TMP% \ initTool
Sur les systèmes Linux et Mac: / tmp / initTool

IBM propose de contrer le code malveillant en détruisant « le lecteur flash USB afin qu’il ne puisse pas être réutilisé. » ou en réinstallant les utilitaires contenu sur ce dernier. Les éditeurs d’antivirus ont baptisé le code pirate sous les noms de Pondre, Torjan Dropper, Windex.

Antivirus, Argent, Cyber-attaque, Cybersécurité, escroquerie, Leak, Logiciels, Mise à jour, Particuliers, Patch, Piratage, Virus

Ménage de printemps : Effacer les virus

Effacer les virus ? Les ordinateurs, tablettes et portables ont aussi le droit à leur nettoyage de printemps. Pour optimiser les performances de vos appareils, voici 6 points à ne pas négliger.

Effacer les virus ! D’abord, nettoyer physiquement ses appareils. Ceci vaut surtout pour les unités centrales qui s’encrassent rapidement : les ventilateurs qui permettent de refroidir la machine aspirent de l’air extérieur. L’accumulation de poussières perturbe le refroidissement et peut entraîner une surchauffe, voire le plantage de la machine. Pour cela, il est recommandé de dépoussiérer l’appareil 1 à 2 fois par an avec un petit compresseur à air. Il est conseillé de faire de même avec l’ordinateur portable et de nettoyer également clavier, souris, écran (notamment ceux des téléphones et des tablettes). Les téléphones portables contiendraient 500 fois plus de bactéries que la cuvette des toilettes.

Ensuite, comme le rappelle ESET, mettre à jour les logiciels. La mise à jour des logiciels, quels qu’ils soient, est très importante pour la sécurité des appareils. Elle permet de réparer les éventuelles failles ou vulnérabilités découvertes par l’éditeur. Activer les mises à jour automatiques est un bon moyen de ne plus les oublier.

Faire une copie de ses fichiers sur un autre appareil. Il est important de sauvegarder ses données sur un support amovible (tel un disque dur). Les appareils ne sont pas infaillibles et personne n’est à l’abri d’une fuite de données. Cette étape est nécessaire avant de passer à la suivante, qui consiste à nettoyer entièrement le disque dur de l’ordinateur.

Nettoyer le disque dur

Le disque dur est soumis à rude épreuve : la navigation sur Internet, autant que les logiciels dont on se sert régulièrement (traitement de textes, jeux…) réduisent la place disponible sur le disque dur. Ceci entraîne un ralentissement de la machine. La première étape consiste à vider la corbeille puis à stocker ses données sur un support amovible, comme une clé USB ou un disque dur externe par exemple. Il faudra ensuite compresser les données et vider le cache Internet. Enfin, l’utilisateur devra lancer le nettoyage de disque, une fonctionnalité disponible chez Microsoft® par exemple, et qui permet de gagner de l’espace sur le disque dur en supprimant les fichiers inutiles (cookies, fichiers temporaires…). Une deuxième opération est également nécessaire : il s’agit de la défragmentation. Elle permet de ranger les fichiers les uns à la suite des autres afin d’optimiser l’espace disponible sur le disque dur.

Désinstaller les logiciels inutiles et effacer les virus

Supprimer les logiciels inutiles, voire néfastes, permet de libérer de l’espace sur le disque dur et d’améliorer la sécurité de son appareil. Pour ce faire, il est possible d’utiliser un logiciel spécialisé ou de chercher dans les paramètres de l’ordinateur l’outil de désinstallation d’un programme ou d’une fonctionnalité. C’est le moment d’en profiter pour supprimer les logiciels inutiles dont on ne se sert plus.

Et pour finir, protéger son appareil avec une suite de sécurité efficace afin de ne plus être obligé d’effacer les virus qui auraient pu s’installer dans votre ordinateur, tablette ou smartphone.

Apache, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Piratage

299 failles corrigées par Oracle

Oracle corrige un total de 299 failles dont la vulnérabilité Struts dévoilée par les pirates de la NSA, Shadow Brokers.

Un total de 299 nouveaux correctifs de sécurité viennent d’être publiés par Oracle pour l’ensemble de ses gammes de produits. Cette mise à jour de sécurité corrige 25 instances de la tristement célèbre vulnérabilité qui sévissait au sein du composant Apache Struts et permettait à un attaquant distant de prendre le contrôle total du serveur exécutant Struts. Le correctif pour Struts a été appliqué à 19 instances de cette vulnérabilité qui affectaient Oracle Financial Services Applications ainsi que WebCenter, WebLogic, Siebel, Oracle Communications, MySQL et Oracle Retail.

Oracle a également publié le patch 25878798 pour Solaris 10 et 11.3 pour corriger l’exploit EXTREMEPARR (CVE-2017-3622), la deuxième vulnérabilité dévoilée par le groupe de pirates Shadow Brokers. Si elle est exploitée avec succès, la vulnérabilité EXTREMEPARR, avec un score de sévérité CVSS de 7,8 sur 10, facilite une élévation de privilèges locaux dans le composant « dtappgather ». L’autre vulnérabilité CVE-2017-3623 dévoilée par Shadow Brokers, baptisée « Ebbisland » ou « Ebbshave », a déjà été corrigée par Oracle lors de plusieurs distributions de patches pour Solaris 10, diffusées depuis le 26 janvier 2012 et elle n’affecte pas Solaris 11.

Sur un ensemble de 299 correctifs, MySQL, Financial Services, Retail et Fusion Middleware se taillent la part du lion des correctifs. La majorité des vulnérabilités au sein de Financial Services, Retail et Fusion Middleware étaient exploitables via le protocole HTTP, les attaquants pouvant prendre le contrôle total du système à distance sans avoir besoin d’aucun certificat.

Concernant les bases de données, le volume de vulnérabilités MySQL a sensiblement augmenté par rapport au serveur de base de données Oracle. Il en va de même pour la mise à jour des 39 correctifs pour MySQL, dont 11 exploitables à distance sans authentification. Soit un nombre important de failles par rapport aux 3 seuls problèmes affectant le serveur de base de données. Toutes les vulnérabilités pour MySQL étaient exploitables via le protocole MySQL utilisé par les systèmes clients pour se connecter au serveur de bases de données. Les entreprises devraient donc dresser un inventaire détaillé de leurs serveurs MySQL concernant leur exposition, que ce soit à l’intérieur ou à l’extérieur de l’entreprise.

Java SE a bénéficié de 8 correctifs de sécurité, notamment pour 7 vulnérabilités exploitables à distance sans authentification. AWT, JCE ainsi que d’autres composants réseau Java étaient affectés et susceptibles d’être exploités via FTP, SMTP et de nombreux autres protocoles. 21 produits Sun Systems ont été corrigés dont Solaris, l’appliance de stockage Sun ZFS et Solaris Cluster. Parmi ces derniers, 8 vulnérabilités étaient exploitables à distance. Le composant le plus affecté dans Oracle Linux était la solution de virtualisation Oracle VM Virtual Box avec 6 vulnérabilités exploitables à distance.

(Cf tableau – liste de vulnérabilités exploitables à distance et résolues par le pack de correctifs).

En résumé, il s’agit d’une mise à jour de sécurité d’envergure avec 299 correctifs publiés pour toute la gamme de produits Oracle, corrigeant la vulnérabilité Apache Struts embarquée dans certains produits, ainsi que 162 vulnérabilités exploitables à distance. (Publié par amolsarwate dans The Laws of Vulnerabilities)

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Mise à jour, Patch, Piratage, Sécurité, Smartphone, voiture

Pirater une voiture connectée : Bosch corrige une faille dans son application mobile

Pirater une voiture connectée! Une faille dans l’outil Drivelog Connect de Bosch permettait de prendre la main sur une voiture connectée et d’arrêter son moteur, alors qu’elle était en marche.

Arrêter une voiture en marche ? Pirater une voiture connectée ? un fantasme informatique ? Le groupe de cyber-recherche Israélien Argus a détecté des lacunes de sécurité dans le dongle Bosch Drivelog Connector et dans son processus d’authentification utilisant l’application Drivelog Connect. Des vulnérabilités qui ont permis aux hackers de prendre le contrôle d’une voiture connectée par le Bluetooth. Une prise de contrôle des systèmes de véhicule essentiels à la sécurité via un dongle Bosch Drivelog Connector installé dans le véhicule.

Une vulnérabilité identifiée dans le processus d’authentification entre le dongle et l’application de smartphone Drivelog Connect a permis de découvrir le code de sécurité en quelques minutes et de communiquer avec le dongle à l’aide d’un appareil Bluetooth standard, tel qu’un smartphone ou un ordinateur portable. Après avoir accédé au canal de communications, il a été facile de reproduire la structure de commande et injecter des messages malicieux dans le réseau embarqué du véhicule.

Pirater une voiture connectée avec un smartphone

En contournant le filtre de messages sécurisé qui était conçu pour autoriser uniquement des messages spécifiques, ces vulnérabilités ont permis de prendre le contrôle d’une voiture en marche, ce qui a été démontré en arrêtant le moteur à distance. Une description technique complète de l’attaque est publiée dans le blog d’Argus. L’équipe d’intervention en cas d’incident de sécurité des produits (Product Security Incident Response Team, PSIRT) de Bosch a agi de manière décisive et immédiate pour éliminer ces vulnérabilités.

Il est important de noter que l’évolutivité d’une attaque malicieuse potentielle est limitée par le fait qu’une telle attaque requiert une proximité physique au dongle. Autrement dit, le dispositif attaquant doit être dans le rayon Bluetooth du véhicule. Qui plus est, une attaque initiale requiert le crack du code PIN pour un dongle donné et l’envoi d’un message CAN malicieux adapté aux contraintes du dongle et du véhicule. Un travail supplémentaire est également réalisé pour limiter encore plus la possibilité d’envoyer des messages CAN non désirés et sera déployé avec d’autres améliorations plus tard dans l’année.

backdoor, Cybersécurité, Hacking, Microsoft, Mise à jour

La faille de Microsoft Office CVE-2017-0199 utilisée pour diffuser l’espion LatentBot

Une faille dans Microsoft Office utilisée depuis des semaines par des pirates pour diffuser le logiciel espion LatentBot.

L’espion LatentBot aimait Office ! Microsoft vient de corriger une vulnérabilité dans Office. Une faille qui permet de cacher des instructions malveillantes dans un document sauvegardé au format .RTF. Dès le 4 mars 2017, des documents malicieux exploitant CVE-2017-0199 ont été utilisés pour délivrer le malware LATENTBOT. Le malware, qui possède une capacité de vol d’identités, n’a depuis lors été observé que via des pirates aux motivations financières. LATENTBOT est un type de malware modulaire et extrêmement bien caché qui a été découvert pour la première fois par FireEye iSIGHT Intelligence en décembre 2015. Il possède une variété de capacités, dont le vol d’identités, l’effacement de disque dur et de données, la désactivation de logiciel de sécurité, et l’accès à distance du poste de travail. Récemment, nous avons identifié des campagnes LATENTBOT utilisant Microsoft Word Intruder (MWI). Les documents leurre distribuant le malware LATENTBOT utilisent des méthodes de manipulation génériques, de type document.doc ou hire_form.doc.

Des échantillons de FINSPY et de LATENTBOT partagent la même origine

Cette faille a permis à d’autres pirates de diffuser un autre outil d’espionnage, FINSPY. Un logiciel légalement commercialisé par la société Gamma group. Des artefacts partagés dans les échantillons de FINSPY et de LATENTBOT suggèrent que le même assembleur a été utilisé pour créer les deux, ce qui indique que l’exploit 0day a été fourni à la fois pour des opérations criminelles et de cyber espionnage en provenance de la même source.

Des campagnes de spam DRIDEX juste après la divulgation de CVE-2017-0199

A la suite de la divulgation des caractéristiques de la faille zero day le 7 avril 2017, celle-ci a été utilisée dans des campagnes de spam DRIDEX, qui continuent encore à ce jour. Nous ne pouvons confirmer le mécanisme par lequel les acteurs ont obtenu l’exploit. Ces acteurs peuvent avoir exploité les connaissances sur la faille obtenues dans les termes de la divulgation, ou y avoir eu accès lorsqu’il est devenu clair que la diffusion d’un patch était imminent. Une campagne de spams a été diffusée le 10 avril 2017, exploitant un leurre « Scan Data. » Le document en attachement exploitait CVE-2017-0199 pour installer DRIDEX sur l’ordinateur de la victime.

Perspectives et implications

Même si un seul utilisateur de FINSPY a été observé exploitant cet exploit zero day, la portée historique de ce malware, dont les capacités ont été utilisées par plusieurs états nations, suggère que d’autres clients y ont eu accès. De plus, cet incident confirme la nature globale des cyber menaces et l’intérêt de disposer d’une perspective mondiale – un incident de cyber espionnage ciblant des russes peut fournir l’occasion d’en savoir plus et d’interdire des activités criminelles visant des individus parlant une autre langue ailleurs.