Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Android, Cybersécurité, Logiciels, Mise à jour, Patch, Sécurité, Smartphone, Téléphonie

0day pour Dolphin et Mercury sous Android

Un chercheur en sécurité informatique conseille aux utilisateurs des navigateurs Dolphin et Mercury de passer sous un butineur web. Des failles 0Day découvertes.

Un chercheur connu sous le pseudonyme de Rot logix a annoncé la découverte de plusieurs 0day, failles non publiques, visant les navigateurs web Dolphin et Mercury. Des navigateurs pour Android. Rotlogix indique qu’il est fortement conseillé de basculer vers d’autres applications en attendant les corrections. Selon Google Play, plus de 50 millions d’internautes utilisent Dolphin Browser ; entre 500 000 et 1 million d’installations pour Mercury.

Les attaques pourraient être profitables à un malveillant, via un Mitm, l’attaque dite de l’homme du milieu. En gros, il y a vous, le pirate et l’espace numérique que vous souhaitez visiter. Le pirate pouvant ainsi intervenir sur les données passant par votre connexion.

La faille est liée à une fonction qui permet aux utilisateurs de télécharger et d’appliquer des thèmes pour les navigateurs web. Les thèmes sont téléchargés en HTTP. Un pirate pourrait en profiter pour injecter son code malveillant. En Mars 2015, des chercheurs de chez Versprite avaient mis à jour des failles dans la version 3.0 de Mercury.

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, Piratage, Sauvegarde

Aux USA, les entreprises qui fuitent peuvent être poursuivies

Une cour fédérale américaine confirme que la Federal Trade Commission peut dorénavant prendre des mesures contre les entreprises qui ne parviennent pas à protéger les données de leurs clients.

Une cour d’appel américaine a statué ce lundi 24 août que dorénavant, la Federal Trade Commission peut prendre des mesures contre les entreprises qui ne protègent pas correctement les données de leurs clients.

Tout est parti de l’affaire des Hôtels du groupe Wyndham. Trois violations de données, entre 2008 et 2009 occasionnant 10,6 millions de dollars de fraudes. Le groupe hôtelier avait fait appel de la décision du tribunal. Il contestait la compétence de la FTC.

La décision du tribunal d’appel vient donc de tomber, confirmant la première décision. En bonus, la cour d’appel suggère que la FTC peut dorénavant tenir les entreprises responsables en cas de problème de sécurité informatique occasionnant une fuite de données.

En France, et en Europe, les internautes sont toujours en attente d’une application législative définitive qui obligera les entreprises à mieux protéger nos données et à alerter les clients maltraités. Des rumeurs font état que la France va accélérer le mouvement d’ici la fin de l’année. Il serait peut-être temps !

Android, Cyber-attaque, Cybersécurité, Piratage, Smartphone

La batterie de votre téléphone, plus vicieuse que prévue

A la base, une batterie de téléphone portable a pour mission de stocker de l’énergie qui fera fonctionner votre précieux. Des chercheurs découvrent que la pile est capable de vous identifier.

Big Brother semble se cacher un peu partout, aujourd’hui, dans notre vie. Des chercheurs l’Université Catholique de Louvain (KULeuven), en Belgique, ont découvert comment la batterie de votre smartphone est capable de vous identifier. Le mouchard utilise l’API baptisé « battery status » proposé dans le HTML5. A la base, ce « code » permet de connaitre l’état de la batterie de votre ordiphone quand vous visitez un site web. Si votre batterie est trop faible, le site web peut passer en mode « léger » et vous permettre de continuer à surfer.

Quatre chercheurs de la Katholieke Universiteit Leuven et de l’INRIA estiment que cette possibilité technique permet aussi de tracer et découvrir l’identité du visiteur du site Internet utilisateur du « battery status« .

L’application est supportée par Firefox, Chrome et Opéra. Il suffit à l’espion de coupler la durée d’énergie encore présente, en seconde, de la batterie et le pourcentage de cette charge pour en sortir une identification, soit 14 millions de possibilités. Suffisant pour suivre un internaute à la trace. La possibilité existerait aussi pour les ordinateurs portables.

Adobe, Android, BYOD, Cloud, cryptolocker, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ios, Leak, Logiciels, Mise à jour, OS X, Patch, Piratage, ransomware, Sécurité, Smartphone, Virus, VPN, Windows phone, Wordpress, Wordpress

État des lieux de l’Internet du 2ème trimestre 2015

Akamai Technologies, Inc., leader mondial des services de réseau de diffusion de contenu (CDN), annonce la disponibilité de son rapport de sécurité « État les lieux de l’Internet » du 2ème trimestre 2015. Il livre une analyse et un éclairage sur les cyber-menaces qui pèsent sur la sécurité cloud à l’échelle mondiale.

« La menace des attaques par déni de service distribué (DDoS) et applicatives web ne cesse de s’intensifier chaque trimestre », précise John Summers, vice-président, Cloud Security Business Unit d’Akamai. « Les acteurs malveillants brouillent perpétuellement la donne en changeant de tactique, en dénichant de nouvelles vulnérabilités, voire en remettant au goût du jour des techniques considérées comme obsolètes. En analysant les attaques observées sur nos réseaux, nous sommes en mesure d’inventorier les menaces et tendances naissantes et de communiquer au public les informations indispensables à la consolidation de leurs réseaux, sites web et applications, et à l’amélioration de leurs profils de sécurité cloud. »

Dans ce rapport sont analysés deux vecteurs d’attaques applicatives web supplémentaires, mais aussi examiné les menaces représentées par le trafic TOR (routage en oignon) et même mis au jour certaines vulnérabilités dans des modules externes WordPress tiers, en cours de publication dans le dictionnaire CVE », ajoute-t-il. « Plus les menaces de cybersécurité sont documentées, mieux la défense d’une entreprise peut être opérée.

Panorama de l’activité des attaques DDoS
Sur les trois derniers trimestres, il apparaît que le nombre d’attaques DDoS double d’une année sur l’autre. Si, au cours de ce trimestre, les pirates ont privilégié les attaques de moindre débit mais de plus longue durée, toujours est-il que le nombre de méga-attaques ne cesse de croître. Au 2ème trimestre 2015, 12 attaques à un débit supérieur à 100 Gb/s ont été recensées et 5 autres culminant à plus de 50 Mp/s (millions de paquets par seconde). Très peu d’entreprises sont capables de résister par elles-mêmes à des attaques de cette ampleur.

L’attaque DDoS la plus massive au 2ème trimestre 2015, mesurée à plus de 240 Gb/s, a duré plus de 13 heures. Le débit crête est généralement limité à une fenêtre d’une à deux heures. Sur cette même période, l’une des attaques présentant le débit de paquets le plus élevé jamais encore enregistré sur le réseau Prolexic Routed a également été déclenchée (à un pic de 214 Mp/s). Ce volume d’attaques est capable de paralyser des routeurs de niveau 1 comme ceux utilisés par les fournisseurs d’accès Internet.

L’activité des attaques DDoS a établi un nouveau record au 2ème trimestre 2015, en hausse de 132 % à trimestre comparable un an auparavant, et de 7 % par rapport au 1er trimestre 2015. Si le débit crête et le volume maximal moyens des attaques ont légèrement progressé au 2ème trimestre 2015 comparativement au trimestre précédent, ils demeurent nettement en-deçà des valeurs maximales relevées au deuxième trimestre 2014.

SYN et SSDP (Simple Service Discovery Protocol) sont les vecteurs les plus couramment utilisés ce trimestre, chacun d’eux représentant approximativement 16 % du trafic d’attaques DDoS. Eu égard à la prolifération d’équipements électroniques de loisirs non sécurisés, connectés à Internet via le protocole UPuP (Universal Plug & Play), leur utilisation comme réflecteurs SSDP demeure attrayante. Quasiment inexistant il y a encore un an, le SSDP s’est imposé comme l’un des principaux vecteurs d’attaques ces trois derniers trimestres. Quant à la technique par saturation de type « SYN flood », elle continue à dominer les attaques volumétriques et ce, depuis la première édition du rapport de sécurité parue au troisième trimestre 2011.

Le secteur des jeux en ligne demeure une cible privilégiée depuis le 2ème trimestre 2014, systématiquement visé par environ 35 % des attaques DDoS. Au cours des deux derniers trimestres, la majorité du trafic d’attaques ne provenant pas d’adresses usurpées a continué à émaner de la Chine, pays qui figure dans le trio de tête depuis la parution du premier rapport au troisième trimestre 2011.

Activité des attaques applicatives web
Des statistiques sur les attaques applicatives web ont commencé à être publiées par Akamai au premier trimestre 2015. Ce trimestre, deux autres vecteurs d’attaques ont été analysés : les failles Shellshock et XSS (cross-site scripting).

Shellshock, vulnérabilité logicielle présente dans Bash mise au jour en septembre 2014, a été exploitée dans 49 % des attaques applicatives web ce trimestre. En réalité, 95 % des attaques Shellshock ont visé un seul client appartenant au secteur des services financiers, dans le cadre d’une campagne qui a duré plusieurs semaines en début de trimestre. Généralement menée sur HTTPS, cette campagne a rééquilibré l’utilisation des protocoles HTTPS et HTTP. Au premier trimestre 2015 en effet, seulement 9 % des attaques avaient été dirigées sur HTTPS, contre 56 % ce trimestre.

Par ailleurs, les attaques par injection SQL (SQLi) représentent 26 % de l’ensemble des attaques, soit une progression de plus de 75% des alertes de ce type rien qu’au deuxième trimestre. À l’inverse, les attaques de type LFI (inclusion de fichier local) s’inscrivent en net recul. Principal vecteur d’attaques applicatives web au premier trimestre 2015, LFI n’est plus à l’origine que de 18 % des alertes au deuxième trimestre 2015. L’inclusion de fichier distant (RFI), l’injection PHP (PHPi), l’injection de commandes (CMDi), l’injection OGNL Java (JAVAi) et le chargement de fichier malveillant (MFU) comptent, pour leur part, pour 7 % des attaques applicatives web.

Comme au premier trimestre 2015, ce sont les secteurs des services financiers et du commerce et de la grande distribution qui ont été les plus fréquemment touchés par les attaques.

La menace des modules externes et thèmes WordPress tiers
WordPress, plate-forme la plus en vogue dans le monde pour la création de sites web et de blogues, est une cible de choix pour des pirates qui s’attachent à exploiter des centaines de vulnérabilités connues pour créer des botnets, disséminer des logiciels malveillants et lancer des campagnes DDoS.

Le code des modules externes tiers est très peu, voire nullement, contrôlé. Afin de mieux cerner les menaces, Akamai a testé plus de 1 300 modules externes et thèmes parmi les plus répandus. Résultat : 25 d’entre eux présentaient au moins une vulnérabilité nouvelle. Dans certains cas, ils en comprenaient même plusieurs puisque 49 exploits potentiels ont été relevés au total. Une liste exhaustive des vulnérabilités mises au jour figure dans le rapport, accompagnée de recommandations pour sécuriser les installations WordPress.

Les forces et les faiblesses de TOR
Le projet TOR (The Onion Router, pour « routage en oignon ») fait en sorte que le nœud d’entrée ne soit pas identique au nœud de sortie, garantissant ainsi l’anonymat des utilisateurs. Bien que nombre des utilisations de TOR soient légitimes, son anonymat présente de l’intérêt pour les acteurs malveillants. Pour évaluer les risques liés à l’autorisation de trafic TOR à destination de sites web, Akamai a analysé ce trafic web à l’échelle de sa base de clients Kona sur une période de sept jours.

L’analyse a révélé que 99 % des attaques émanaient d’adresses IP non-TOR. Néanmoins, une requête sur 380 issues de nœuds de sortie TOR était malveillante, contre une sur 11 500 seulement en provenance d’adresses IP non-TOR. Ceci dit, le blocage de trafic TOR pourrait se révéler préjudiciable sur le plan économique. Toutefois, les requêtes HTTP légitimes vers les pages d’e-commerce correspondantes font état de taux de conversion équivalents entre nœuds de sortie TOR et adresses IP non-TOR. Le rapport.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Patch, Piratage

Un rapport IBM X-Force dévoile une utilisation accrue de Tor et une évolution des attaques avec rançon

IBM Sécurité annonce les résultats de son rapport Q3 2015 IBM X-Force Threat Intelligence.

Ce rapport dévoile les dangers grandissants provoqués par les cyber-attaques provenant du Dark Web à travers l’utilisation du réseau Tor (The Onion Router), ainsi que les nouvelles techniques mises en place par les criminels pour les attaques avec rançon. Rien que depuis le début de l’année,  plus de 150 000 événements malveillants provenant de Tor ont eu lieu aux États-Unis.

Même si on entend davantage parler des fuites de données que des demandes de rançon, les « ransomware » représentent une menace grandissante. Comme la sophistication des menaces et des attaquants croît, leur cible fait de même, et ainsi certains attaquants se sont par exemple spécialisés dans la demande de rançon concernant les fichiers de joueurs de jeux en lignes populaires. Le rapport dévoile que les agresseurs peuvent maintenant également bénéficier de « Ransomware as a Service » en achetant des outils conçus pour déployer de telles attaques.

Comme les hauts fonds des océans, le Dark Web demeure largement inconnu et inexploré, et il héberge des prédateurs. L’expérience récente de l’équipe IBM Managed Security Services (IBM MSS) montre que les criminels et d’autres organisations spécialisées dans les menaces utilisent Tor, qui permet d’anonymiser les communications aussi bien en tant que vecteur d’attaques que d’infrastructure, pour commander et contrôler les botnets. La façon dont Tor masque le cheminement offre des protections supplémentaires aux attaquants en les rendant anonymes. Ils peuvent aussi masquer la location physique de l’origine de l’attaque,  et même la remplacer par une autre de leur choix. Le rapport étudie également Tor lui-même, et fournit des détails techniques permettant de protéger les réseaux contre les menaces, intentionnelles ou non, véhiculées par Tor.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle, Social engineering

L’importance d’identifier ses données sensibles

Une récente étude conduite par le Ponemon Institute révèle que 64% des professionnels de l’IT déclarent que leur principal défi en matière de sécurité est de ne pas savoir où se trouvent les données sensibles de leur organisation sur site et dans le cloud. Ils estiment en effet que cette tâche est d’autant plus difficile qu’ils ne sont pas non plus en mesure de déterminer si ces données sont vulnérables à une attaque ou une faille de sécurité. Par Jean-François Pruvot, Regional Director France chez CyberArk pour DataSecurityBreach.fr.

La gestion et la sécurisation efficaces des données sensibles passent par la mise en place de comptes administratifs ou individuels privilégiés pour surveiller et contrôler les accès – quel que soit l’emplacement des données. En effet, les organisations possèdent en moyenne trois à quatre fois plus de comptes à hauts pouvoirs que d’utilisateurs, ce qui rend les comptes à privilèges plus compliqués à gérer et à identifier. Ces derniers sont souvent utilisés par des cyber attaquants pour gagner l’accès au réseau d’une organisation et attaquer insidieusement le cœur de l’entreprise en visant les données et systèmes sensibles. Les hackers se déplacent latéralement à l’intérieur de l’entreprise tout en élevant les privilèges leur donnant accès à l’ensemble du réseau, et peuvent rester virtuellement non détectés pendant de très longues périodes.

Par conséquent, si la majorité des équipes IT ne parviennent pas à tracer les mouvements de leurs données, et n’ont pas non plus suffisamment de visibilité sur les comptes administrateurs permettant d’y accéder, il est indispensable de mettre en place les outils nécessaires pour identifier rapidement les personnes ou machines qui accèdent aux données sensibles – et l’utilisation qui en est faite – pour protéger et renforcer l’efficacité des stratégies de sécurité. « Le fait que 64% des professionnels de l’IT ne pensent pas être capables d’identifier l’emplacement des données sensibles de leur organisation démontre des faiblesses dans les systèmes de protection. Un tel constat confirme la nécessité de sensibiliser les organisations sur le renforcement des mesures de contrôle pour sécuriser l’accès aux données et adhérer à des politiques de sécurité strictes. Avant d’envisager le déploiement de solutions de sécurité, il est essentiel de mettre en place une stratégie dédiée à la gestion de ces données – et en particulier des solutions permettant de mieux gérer, surveiller et contrôler les accès. Que ce soit sur site ou dans le cloud, les entreprises doivent savoir ce qu’elles sécurisent à tout moment et quelles que soient les actions en cours sur les infrastructures afin de protéger ce que de potentiels hackers peuvent dérober. »

Un programme stratégique de sécurisation des comptes à privilèges commence par l’identification de l’emplacement des comptes à hauts pouvoirs et identifiants associés. Sont inclus les comptes administrateurs des machines et postes de travail de l’entreprise, ainsi que les identifiants qui permettent la communication entre applications et entre machines. Les organisations doivent mettre en place les fondements de base de la sécurité incluant des patchs, la mise à jour régulière des systèmes et la rotation fréquente des mots de passe. Sans une vigilance accrue de leur gestion, une personne extérieure, ou un employé n’étant pas censé intervenir sur ces comptes dans le cadre de ses fonctions, pourrait accéder aux données de l’entreprise et en compromettre la sécurité de manière accidentelle ou malveillante.

Ainsi, afin de réduire au maximum les risques de vol ou de pertes de données, l’identification et la cartographie des données est indispensable pour élaborer une stratégie de sécurité parfaitement adaptée aux contraintes de sécurité liées à l’accès au réseau des organisations, et particulièrement dans les environnements virtualisés. Par conséquent, de même qu’on règle son rétroviseur et qu’on attache sa ceinture avant de prendre le volant, les organisations doivent avoir une visibilité complète de leurs données, de leur emplacement et contrôler qui accède aux informations où et quand, afin de les sécuriser de la manière la plus adaptée ; elles peuvent ainsi se prémunir contre les attaques et les infiltrations insidieuses dans leurs systèmes, que les données soient stockées sur site ou dans le cloud.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, OS X, Patch, Piratage, Social engineering, Virus

La sophistication et le dynamisme des cyber-attaques au cœur de la course à l’innovation des pirates et professionnels de la sécurité

Un commentaire

Comme chaque année, Cisco publie son Rapport semestriel 2015 sur la sécurité et dévoile son analyse des menaces et tendances en matière de cyber sécurité. Il révèle la nécessité absolue pour les entreprises de réduire les temps de détection (TTD), afin de contrer les attaques sophistiquées perpétrées par des pirates particulièrement motivés. Le kit d’exploits Angler est le type même de menaces auxquelles seront confrontées les entreprises. La multiplication des vecteurs d’attaques innovants et des opportunités de monétisation sont exploités par les hackers, à la faveur de l’essor de l’économie numérique et de l’Internet of Everything.

Les nouveaux risques associés à Flash, l’évolution des ransomwares et les campagnes de malwares de plus en plus dynamiques, tels que Dridex, augmentent la nécessité de réduire les temps de détection. Avec la digitalisation des entreprises et l’avènement de l’IoE (Internet of Everything), les malwares et autres menaces se font de plus en plus omniprésents. Cette situation ne manque pas de soulever des inquiétudes quant à la durée des temps de détection, actuellement compris entre 100 et 200 jours, d’après les estimations des professionnels de la sécurité. À titre de comparaison, le temps de détection moyen des solutions AMP (Advanced Malware Protection) de Cisco est de 46 heures, grâce à l’analyse rétrospective des attaques.

Le rapport souligne l’importance pour les entreprises, de privilégier le déploiement de solutions intégrées ainsi que le recours à des fournisseurs de services de sécurité à des fins d’orientation et d’évaluation. Par ailleurs, les géopoliticiens notent l’urgence de définir un cadre mondial de cybergouvernance afin de soutenir la croissance économique.

Angler, des assaillants tapis dans l’ombre pour mieux frapper – Grâce à l’exploitation de la vulnérabilité des solutions Flash, Java, Internet Explorer et Silverlight, Angler est actuellement l’un des kits d’exploits les plus sophistiqués et les plus largement utilisés. Le kit excelle également à passer au travers des détections en utilisant, en autres techniques : le « domain shadowing ».

Dridex, des campagnes en constante évolution – Les créateurs de ces campagnes de malwares en perpétuelle mutation ont bien compris comment échapper aux systèmes de sécurité. Pour mieux passer à travers les mailles du filet, les assaillants s’empressent de modifier le contenu des e-mails, noms d’utilisateurs, pièces jointes ou contacts, et de lancer de nouvelles campagnes, obligeant ainsi les systèmes anti-virus traditionnels à remettre à jour leur base de données afin de les détecter.

Flash is Back – Les exploits utilisant les vulnérabilités d’Adobe Flash intégrés dans les kits d’exploits Angler et Nuclear ont également le vent en poupe. Ce succès tient en partie au manque de solutions de correctifs automatiques, ainsi qu’à la négligence des utilisateurs qui n’effectuent pas immédiatement les mises à jour. Au cours du premier semestre 2015, le nombre de vulnérabilités Adobe Flash Player signalées par le système CVE (Common Vulnerabilities and Exposure) a augmenté de 66 % par rapport aux chiffres de 2014. À ce rythme, Flash est en passe d’établir un record absolu du nombre de signalements CVE pour l’année 2015.

L’évolution des ransomwares – Les ransomwares demeurent des solutions particulièrement lucratives pour les hackers qui ne se lassent pas d’en développer de nouvelles variantes. Les opérations de ransomware se sont tellement perfectionnées qu’elles sont aujourd’hui totalement automatisées et contrôlées depuis le Dark Web. Afin de soustraire les transactions à la loi, les rançons sont payées en monnaie virtuelle, telle que le bitcoin.

La nécessité d’une mobilisation générale

L’accélération de la course à l’innovation entre assaillants et éditeurs de solutions de sécurité expose les entreprises et utilisateurs finaux à un risque croissant. Les éditeurs doivent veiller à développer des solutions de sécurité intégrées permettant aux entreprises de se montrer proactives et d’associer professionnels, process et technologies de manière judicieuse.

Un cadre de cybergouvernance mondiale – À l’heure actuelle, la cybergouvernance mondiale ne dispose pas des outils nécessaires lui permettant de faire face aux menaces émergentes ou aux enjeux géopolitiques. La question des frontières, expose la problématique pour les états de collecter et de partager des données sur les entreprises et les citoyens entre différentes juridictions. Ceci constitue un obstacle de taille à la mise en place d’un système de cybergouvernance cohérent, dans un monde où la coopération est limitée. Afin de soutenir la croissance économique des entreprises et leurs efforts d’innovation, il est nécessaire d’instaurer un cadre de cybergouvernance multipartite et collaboratif au niveau mondial. De l’importance d’une transparence des éditeurs – Il est indispensable pour les entreprises de demander aux éditeurs une pleine transparence dans tous les aspects du développement de leurs produits de sécurité, et ce depuis la chaîne logistique et pendant toute la durée de déploiement de ces derniers.

Télécharger un exemplaire du Rapport semestriel Cisco 2015 sur la sécurité.

Banque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données

Les employés en vacances posent-ils un risque pour la sécurité des données d’entreprise ?

Beaucoup d’employés ont du mal à déconnecter pendant leurs congés. En dehors des accès via des connexions parfois non protégées, la perte ou le vol d’un terminal peuvent porter préjudice à la sécurité des données de l’entreprise. Comment en optimiser la protection ? Par Xavier Dreux, Responsable Marketing chez Prim’X

Comme DataSecurityBreach.fr vous le prouvait en 2013, un trop grand nombre d’employés utilisent encore de trop leurs données professionnelles durant leurs vacances. Nous sommes au milieu des congés estivaux et comme chaque année beaucoup de dirigeants et cadre d’entreprises ont du mal à déconnecter. Certains continueront à se connecter à distance à leur messagerie et ou aux serveurs de leur entreprise, d’autres emmèneront tout simplement leur portable sur leur lieu de vacances « au cas où » sans penser ou en sous-estimant les conséquences que cela peut avoir pour la sécurité des données de leur entreprise. Plusieurs solutions s’offrent néanmoins à l’entreprise pour garantir la protection de ses données.

Les fondamentaux

Premièrement, il peut paraître utile de rappeler aux employés et notamment aux cadres que les vacances servent à déconnecter et à se couper avec le stress du quotidien pendant plusieurs jours. En effet, si l’on en croit les résultats d’une étude menée par Roambi et Zebaz, 93% des cadres dirigeants français consultent leurs données professionnelles durant leurs vacances.

Il paraît plus que pertinent d’un point de vue gestion des ressources humaines de transmettre les fondamentaux et d’inciter les employés à gérer leur absence avec les collègues qui resteront présents. Faire une passation de dossiers et prévoir un « testament » avec les points à suivre et les coordonnées des personnes capables d’apporter un soutient en cas d’urgence est déjà un bon début pour partir serein et couper le cordon. Certaines entreprises commencent également à prendre des mesures drastiques d’un point de vue technique en coupant tout simplement les accès des employés pendant la durée de leur absence.

Sensibiliser aux risques

Nous le rappelons constamment chez DataSecuritybreach.fr, le maillon faible de la sécurité c’est l’humain. La sensibilisation doit être renouvelée régulièrement pour être efficace. La période estivale est une excellente opportunité pour transmettre aux salariés une note rappelant quelques-uns des principes de base et les mesures clés pour assurer la sécurité de ses données lorsque l’on est en dehors de l’entreprise.

On peut ainsi souligner les différents risques qui peuvent porter préjudice aux données de l’entreprise : s’assurer que l’on tape le mot de passe de son terminal à l’abri des regard, que la connexion utilisée est sécurisée, ne pas laisser ses terminaux sans surveillance ou les mettre sous clé, etc. Plusieurs actualités ont récemment rappelé les risques liés à l’utilisation des hotspots WiFi publics (gares, aéroports, hôtels, lieux de restauration).

En mars, c’est le magazine Wired qui révélait les risques de sécurité liés à un problème de sécurité des routeurs WiFi utilisés par 8 des 10 plus grandes chaines hôtelières au niveau mondial. En avril, c’est une étude d’Avast Software qui soulignait que 66% des français préfèrent se connecter au Wi-Fi public non sécurisé au risque de perdre leurs données personnelles. Quand on sait que nombre d’employés accèdent à leur messagerie sur le terminal personnel, le risque n’est pas anodin.

Bien entendu les risques de pertes et ou de vols du terminal viennent s’ajouter à celui des connexions. Il est donc opportun de rappeler qu’il faut impérativement protéger son terminal avec un mot de passe adéquat et s’assurer que celui-ci soit à l’abri lorsque vous devez vous en séparer lorsque l’on va à la plage par exemple (coffre fort de chambre, consigne d’hôtel, proches, etc.). Qu’une connexion ne peut se faire sans VPN.

Dans le cadre des meilleures pratiques, c’est à l’entreprise de mettre à disposition de ses salariés et dirigeants des moyens pour protéger leurs terminaux et sécuriser les échanges de données. Sans ce type d’outils, l’employé sera tenté de passer outre les règles de sécurité ou bien de mettre en œuvre des solutions de protection par ses propres moyens, sous réserve qu’il ait été sensibilisé aux problématiques de sécurité. Aucune de ces solutions n’est souhaitable. L’entreprise doit conserver la responsabilité de la sécurité L’important n’est pas uniquement de rester opérationnels mais surtout de ne pas mettre en péril l’entreprise et son patrimoine informationnel. Et comme nous l’avons vu, il existe aujourd’hui plusieurs moyens simples de protéger les données présentes sur un terminal emmené en congé par les professionnels.

Dernier point, savoir se déconnecter pendant ses vacances, une vraie preuve de professionnalisme !

Cyber-attaque, Cybersécurité, Emploi, Entreprise, Justice, loi, Mise à jour, Patch, Piratage, Propriété Industrielle, santé, Virus

Un appareil médical interdit en raison de vulnérabilités numériques

2 commentaires

La Food and Drug administration vient de faire interdire un appareil médical considéré comme dangereux en raison de trop nombreuses vulnérabilités informatiques. Un pirate pourrait manipuler les transfusions à un patient.

La FDA, la Food and Drug administration, l’Agence américaine des produits alimentaires et médicamenteux vient de tirer la sonnette d’alarme au sujet des matériels médicaux face aux pirates informatiques. Pour ce faire entendre, et faire de manière à ce que les constructeurs écoutent avec leurs deux oreilles, la FDA vient de faire interdire le dispositif médical de la société Hospita.

Le matériel incriminé, une pompe à perfusion, l’Hospira Symbiq Infusion System. La FDA encourage « fortement les établissements de soins de santé à changer de matériel, à utiliser des systèmes de perfusion de rechange, et de cesser l’utilisation de ces pompes [celles d’Hospita]. »

La raison de cette interdiction ? Trop de vulnérabilités pourraient être exploitées par des pirates informatiques, et donc mettre en danger les patients. Des failles qui pourraient permettre à un utilisateur non autorisé de contrôler l’appareil et de modifier la perfusion. Délivrer plus ou moins de médicament par exemple.

Une interdiction qui était prévue chez Hospira. Le constructeur avait annoncé en mai 2013 qu’il mettrait à la « retraite » Symbiq, ainsi que d’autres pompes à perfusion. Une mise à la retraite prévue pour la fin 2015.

Antivirus, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle, Virus

Des vilains chez Kaspersky ?

Deux ex-employés de Kaspersky indiquent que l’éditeur russe d’antivirus aurait diffusé de faux positifs pour embêter la concurrence.

Les plus anciens se souviennent très certainement des polémiques autour de plusieurs éditeurs d’antivirus, nous sommes alors dans les années 1990. Des éditeurs avaient été accusés d’être les auteurs de codes malveillants, histoire de faire parler la presse de leurs outils, capable d’éradiquer ces mystérieux monstres numériques. Nous sommes alors à l’époque de VX BBS, des worms Murphy, Nomenclatura, Beast, 512, Number of Beast (Virus made in Bulgarie) ou encore des russes Peterburg, Voronezh ou encore LoveChild. Une époque ou les lecteurs des Magazine Pc Today, ou encore Amstrar CPC, se souvient des codes malveillants cachés dans la disquette offerte par le journal ou proposé dans la page du journal.

Juillet 2015, voici revenir la rumeur. Selon l’agence de presse américaine Reuters, le russe Kaspersky aurait tenté de diffuser des fichiers modifiés afin de les faire détecter comme dangereux, par la concurrence. En gros, réussir à faire effacer par les concurrents des programmes indispensables permettant de lancer Windows. Bref, mettre le souk dans les signatures des autres antivirus.

Deux anciens employés, donc pas content de ne plus bosser pour Kaspersky, ont affirmé ce fait à Reuters. L’idée malveillante aurait été lancée il y a plus de dix ans. Kaspersky visait  les antivirus de Microsoft, AVG ou encore Avast. Sa méthode consistait donc a faire effacer des programmes importants, et non dangereux, par les antivirus des concurrents. Intoxiquer la concurrence et faire décliner l’efficacité de leurs outils. Reuters indique que le fondateur Eugene Kaspersky en a lui-même donné l’ordre. Il voulait, paraît-il, faire payer les concurrents qui auraient simplement imité la technologie utilisée dans son propre antivirus.

Kasperksy a bien entendu démenti la diffusion de ces faux positifs. Pourtant, il y a 5 ans, Kaspersky avait expliqué comment, en diffusant 10 faux positifs, ils avaient découvert les agissements de 14 concurrents. ces derniers auraient repris ses informations comme argent comptant. Dennis Batchelder, responsable des recherches anti-malwares chez Microsoft a confirmé à Reuters avoir découvert des fichiers modifiés ayant pour mission de paraître dangereux. Bref, la nouvelle guerre froide entre Russie et USA vient de se déplacer, aussi, dans le petit monde des antivirus.

Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Paiement en ligne, Piratage

La France, 1ère cible des attaques DDoS de botnet en Europe au 2ème trimestre 2015

Un commentaire

Les trois quarts des ressources attaquées au deuxième trimestre de 2015 par des botnets se situent dans 10 pays seulement, selon les statistiques du système Kaspersky DDoS Intelligence.

En tête du classement, les États-Unis et de la Chine enregistrent un grand nombre d’attaques à cause du faible coût d’hébergement de ces pays. Cependant, les changements dans les autres positions du classement et le nombre croissant de pays affectés par ce type d’attaque prouvent qu’aucun territoire n’est sécurisé face aux attaques DDoS. Le nombre de pays où les ressources attaquées ont été localisés a augmenté de 76 à 79 au cours du deuxième trimestre de 2015 ; Dans le même temps, 72% des victimes se situaient dans seulement 10 pays ; Cependant, ce chiffre a diminué comparé à la période précédente, avec 9 victimes sur 10 présentes dans le top 10 au premier trimestre.

Le top 10 du deuxième trimestre incluait la Croatie, tandis que les Pays-Bas ont quitté le classement. La Chine et les Etats-Unis ont gardé leurs positions dominantes ; la Corée du Sud a fait descendre le Canada de sa troisième place. La cause en est une explosion des activités de botnets, la plupart ciblant la Corée du Sud. En outre, la proportion d’attaques localisées en Russie et au Canada a diminué comparé au trimestre précédent.

Une forte augmentation du nombre d’attaques a été observée dans la première semaine de mai, tandis que la fin du mois de juin montrait la plus faible activité. Le pic d’attaques par jour (1960) a été enregistré le 7 mai ; Le jour le plus « calme » a été le 25 juin avec seulement 73 attaques enregistrées ; Dans le même temps, la plus longue attaque DDoS du trimestre a duré 205 heures (8,5 jours).

Concernant la technologie sur laquelle sont basées les attaques, les cybercriminels impliqués dans le développement de botnets DDoS investissent de plus en plus dans la création de botnets d’appareils de systèmes de réseaux comme les routeurs et modems DSL. Ces changements annoncent sûrement une augmentation du nombre d’attaques DDoS utilisant des botnets à l’avenir.

Alerte du CERT US

Le CERT USA a lancé une alerte à ce sujet, le 17 août 2015. Même alerte pour l’Internet Crime Center (IC3) qui rajounte que des campagnes d’extorsion menacent les entreprises avec un déni de service (distribué DDoS). Si les entreprises ne paient pas une rançon, ils sont attaqués. La menace vient généralement par mail, et les rançons varient. Elles sont généralement exigées en Bitcoin. Dans les attaques connues et référencées par l’IC3, elle se composait principalement de Discovery Protocol (Simple SSDP) et NTP (Network Time Protocol). La plupart des attaques ont duré une à deux heures avec 30 à 45 gigaoctets de données envoyées. Le FBI pense que plusieurs personnes sont impliquées dans ces campagnes et que les attaques vont s’étendre d’autres industries en ligne. Selon MarketWatch, un site hors service peut coûter jusqu’à 100.000 dollars de l’heure pour certains établissements financiers. Des attaques de plus en plus simples à mettre en place, sans aucune connaissance technique préalable.

Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, Logiciels, Particuliers, Social engineering, Vie privée

L’opérateur Comcast accusé de surveiller ses clients, utilisateurs de TOR

Plusieurs clients de l’opérateur Comcast se sont étonnés d’un appel téléphonique de leur FAI. Ce dernier leur a reproché d’utiliser le système d’anonymisation TOR.

L’excellent logiciel TOR permet de surfer anonymement. Il utilise des milliers d’ordinateurs dans le monde, des nœuds TOR, pour permettre de ne pas diffuser son IP sur le site, le forum, l’espace numérique que l’on souhaite visiter. L’ip d’un des nœuds apparaîtra en lieu et place de votre identifiant. TOR, et son option « Internet » Onion, offre la possibilité de créer un site anonyme et, surtout, non référencé. Bilan, vous souhaitez partager vos photos de vacances avec vos ami(e)s intimes, Onion offre cette possibilité. Mais ne nous voilons pas la face derrière de jolis discours libertaires, de protection de la vie privée. TOR et ONION sont malheureusement utilisés par des malveillants, des commerçants peu scrupuleux, pouvant offrir drogue, arme, faux papiers, et biens d’autres contenus plus monstrueux encore [Lire le cas de ce croundfowdind du darknet dédié aux pédophiles, NDR]. Il semble que l’opérateur américain Comcast a décidé de mettre tous les utilisateurs de TOR dans le même panier. Si vous utilisez TOR c’est que vous avez des choses à cacher, donc cessez sinon, l’opérateur coupe la connexion des clients récalcitrants. Comcast trace donc ses clients, et décortique ceux qui utilisent le navigateur Tor. Le FAI pense que si vous devez utiliser TOR, c’est obligatoirement pour faire quelque chose d’illicite. Un des clients indique que les employés de Comcast vont jusqu’à stipuler que TOR est illégal !

Dans un mail diffusé sur Reddit, un interlocuteur de Comcast explique que « Les utilisateurs qui essaient d’utiliser l’anonymat, où se cacher sur Internet, le font généralement pour ne pas avoir d’ennuis avec la justice. Nous avons le droit de résilier ou de suspendre votre compte à tout moment en raison du fait que vous violez  les règles. Avez-vous d’autres questions ? Merci d’avoir contacté Comcast« . Hérésie, surtout que TOR… a été conçu, en partie, par l’armée américaine.

Bref, les utilisateurs de TOR, les « gentils » et les « méchants » utilisent, en plus de TOR, une nouvelle couche d’anonymisation, un Virtual Private Network (VPN). Le VPN cache l’utilisation de TOR, et TOR cache l’utilisateur ! Comcast est revenu sur ce courrier en indiquant qu’il n’y avait aucune surveillance de ses clients ! Pour rappel, Comcast a déjà été classé par le projet TOR comment étant un « Bad FAI« .

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Piratage de l’Université de Virginie, des Européens concernés

L’Université de Virginie a annoncé vendredi que son réseau informatique avait été victime d’une cyberattaque.

Les fonctionnaires de cette institution ont déclaré qu’une enquête en cours avait déjà permis de conclure qu’aucune information personnelle, telles que les numéros de sécurité sociale, données bancaires, ou des renseignements personnels sur la santé, avaient été consultés/copiés par les pirates.

L’attaque semble provenir de Chine, du moins d’un des milliers d’ordinateurs piratés Chinois qui ont pu être exploités par un malveillant agissant hors de la Grande Muraille. L’Université a été alertée non pas par ses informaticiens, mais par les autorités américaines, le 11 Juin 2015. L’école a communiqué sur le sujet, en cette mi-août. Elle vient de « patcher » la faille, une injection SQL aussi idiote qu’efficace.

Une mise à jour qui aura pris trois jours. Les utilisateurs ont dû, ensuite, changer l’ensemble de leurs mots de passe. Étrange, le communiqué de presse de l’Université a disparu. Plus grave que prévue l’attaque ?

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Social engineering, spam, Vie privée

Ashley Madison : 10 Go de données diffusées sur les infidéles

Les pirates informatiques du site Internet Ashley Madison, un espace de rencontres pour adultes à la recherche d’aventures extra conjugales, diffusent 9,7 Gigaoctets de données privées.

Le site Internet AshleyMadison avait confirmé un piratage informatique de son système. Ce portail américain dédié aux rencontres pour adultes à la recherche d’aventures extra conjugales indiquait à l’époque que le chantage des pirates étaient sans grande conséquence, les vilains n’ayant pas vraiment de données sensibles entre les mains.

Quelques semaines plus tard, le roi de l’infidélité se retrouve avec 9.7 Gigaoctets de données dans la nature. Les pirates voulaient manifester sur le fait que le portail demandait 19 dollars aux « clients » afin d’effacer les données de ces derniers. Dans les informations, des mails, beaucoup. Prudence cependant avec ces adresses. Ne pas en tirer une conclusion trop rapide. Dans le lot, très certainement de nombreuses fausses adresses, ou celles de votre patron qu’un concurrent, ou un employé, souhaitaient « embêter ».Ashley Madison ne vérifiait pas les adresses électroniques qui lui étaient adressés.

Détail très intéressant, 5 à 10% des comptes sont féminins, 2/3 sont faux ! Autant dire que le site Ashley Madison fonctionne, en plus, sur du vent ! Au moins ce piratage aura éclairci le plan marketing du pseudo roi de l’infidélité. Dans les données, 15.000 adresses en .mil.gov (armée US) et autant d’adresses en .fr.

Android, Argent, Arnaque, backdoor, Cybersécurité, escroquerie, Espionnae, ID, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Smartphone

Avast découvre un nouveau malware sur Google Play made in Turquie

Une nouvelle version de Porn Clicker vient d’apparaitre sur Google Play. Des pirates Turcs seraient derriére cette nouvelle version.

En avril 2015, l’éditeur de solutions de sécurité informatique Avast découvrait un code malveillant baptisé « porn clicker ». Un malware caché dans un logiciel propose sur Google Play. D’après l’éditeur, il a pu être téléchargé entre 100 000 et 500 000. Le code malveillant se faisait passer pour l’application populaire Dubsmash.

Une fois l’application installée, aucun indice particulier ne permettait à l’utilisateur d’identifier sur son appareil une application intitulée “Dubsmash 2” : en effet, l’application générait à la place une icône qui se présentait sous le nom de “Réglages IS”. Lorsque l’utilisateur ouvre cette application, le Google Play Store active la page de téléchargement de l’actuel “Dubsmash”. Par la même occasion, une liste de liens redirigeant vers divers sites pornographiques est téléchargée, conduisant au lancement d’un des liens de cette liste dans le navigateur. Après une dizaine de secondes, le code procède au clic d’autres liens au sein même du site pornographique.

« Nous serons de retour… »

Quatre mois plus tard, il a identifié une mutation de ce malware. intercepteur de données qui semble avoir été créé par la même équipe turque qui était à l’origine de ce logiciel malveillant. Google a une nouvelle fois réagi rapidement et l’a retirée du Play Store.

Une fois téléchargées, les applications ne présentent aucune activité importante lorsque l’utilisateur procède à l’ouverture de celles-ci, et affichent seulement une image fixe. Toutefois, lorsque l’utilisateur, qui ne se doute de rien, ouvre son navigateur ou d’autres applications, l’application malveillante parcourant l’arrière-plan du système renvoie directement vers des sites pornographiques. Les victimes ne comprennent pas forcément d’où proviennent ces redirections, car il n’est possible d’arrêter ce processus qu’en supprimant l’application.

Les chercheurs en sécurité de chez Eset ont rapporté peu de temps après que de nombreuses applications ayant subi cette mutation se trouvaient dans Google Play, et que la forme originelle du malware y a été téléchargée à plusieurs reprises en mai dernier. Les découvertes, combinées à celles d’Eset, prouvent que les auteurs de ces malwares persistent dans leur intention de faire de Google Play une résidence permanente pour leurs logiciels malveillants.

Quelques jours plus tard, le malware était déjà de retour sur Google Play. Le malware, identifié sous l’appellation « Clicker-AR », était présent dans les trois applications suivantes : Doganin Güzellikleri, Doganin Güzellikleri 2, Doganin Güzellikleri 3. Ce qui signifie littéralement « Beautés de la Nature ». Les pirates avaient en effet modifié les noms des développeurs afin que Google ne puisse pas les retrouver facilement. Avast a signalé à Google la présence de ces applications malveillantes et celles-ci ont été une nouvelle fois retirées.

Que peut faire l’utilisateur ?

Google a du pain sur la planche. En effet, la société a en charge à la fois le maintien du système d’exploitation pour mobiles le plus populaire au monde et un « app store » proposant environ 1,5 millions d’applications. Un antivirus n’est pas à négliger, la source du logiciel est à vérifier par les utilisateurs avant le moindre téléchargement. Faire attention aux demandes d’autorisations des applications. Si une application fait une demande d’autorisation que l’utilisateur ne juge pas nécessaire pour le bon fonctionnement de l’application, cela annonce probablement la présence d’une faille. Même si cela peut-être piégé, vérifier les avis d’utilisateurs.

Argent, Arnaque, Contrefaçon, Cybersécurité, Entreprise, escroquerie, Mise à jour, Particuliers, Patch, Sécurité, Smartphone, Social engineering

Les cybercriminels ciblent aussi les gamers

A l’occasion de la Gamescom, G DATA a donné quelques conseils afin de ne pas tomber dans les pièges qui ciblent les joueurs.

Le secteur du jeu vidéo a généré en France un chiffre d’affaires de 1,592 milliards d’euros (hors matériel et accessoires) en 2014, selon l’AFJV (Agence Française pour le Jeu Vidéo). Avec 45 % des achats de jeu vidéo qui se réalisent sur des plateformes dématérialisées, les cybercriminels disposent d’un vivier pour leurs tentatives de vols et d’arnaques. Hameçonnage, fausses offres spéciales, malware dédiés au vol d’identifiants de jeu, les pièges ne manquent pas. À l’occasion de la Gamescom de Cologne, G DATA fait un point sur les attaques les plus courantes et donne ses conseils pour les éviter.

« Les cybercriminels se concentrent de plus en plus sur le trafic de clés de jeu vidéo illégales », explique Ralf Benzmüller, directeur du G DATA SecurityLabs, « des malware et campagnes d’hameçonnage dédiés sont utilisés pour voler les données d’accès des plateformes de jeu en ligne. Les joueurs doivent être prudents et vérifier toutes les offres sur Internet avec attention. De plus, il est nécessaire d’utiliser une solution de sécurité. »

Commerce de licences de jeu achetées illégalement

Grâce aux plateformes de jeu telles que Steam ou Origin, les ventes de jeu sur ordinateur sont entrées depuis longtemps dans l’ère de la dématérialisation. L’arnaque la plus courante chez les cybercriminels consiste à acheter des clés d’enregistrement pour les jeux du moment en utilisant des données de cartes bancaires volées. Ces clés sont ensuite vendues moins cher sur des sites de vente entre particuliers ou des sites d’enchères. Mais la joie des joueurs ne sera que de courte durée, car les fournisseurs couperont l’accès après un certain temps.

Les comptes en ligne Xbox Live, PlayStation Network ou encore iTunes n’échappent pas non plus à ce type d’arnaque. À titre d’exemple, il est possible de trouver sur le marché noir cybercriminel des crédits PSN moitié moins chers que leur valeur réelle.

Les exclusivités comme appât

Les gamers sont toujours à la recherche des avant-premières et des dernières captures des jeux en développement. Les cybercriminels le savent et attirent les joueurs vers des sites voués à infecter leur système et voler leurs données de jeu. Actuellement, des noms des jeux à venir tels que Fallout 4, Star Citizen ou Star Wars : Battlefront sont particulièrement ciblés par les attaques.

Jeux sur mobile : des risques nouveaux

Les jeux sur tablette et smartphone connaissent une forte croissance. Avec eux apparaissent de nouveaux risques, notamment liés aux publicités in-app. De nombreux jeux gratuits utilisent la publicité insérée dans le jeu pour se financer. Mais toutes les applications derrière ces publicités ne sont pas bonnes à prendre. Applications faussement gratuites ou infectées sont de la partie. Les paiements in-app sont aussi à prendre en compte, surtout lorsque les appareils sont utilisés par les enfants.

Comment les joueurs peuvent-ils se protéger ?

– Correctifs non officiels et modifications : il est important de n’installer que les mises à jour officielles provenant des fournisseurs de jeu. Une mise à jour venant d’un fournisseur tiers peut se révéler être un malware.
– Spam et emails infectés : les cybercriminels connaissent les jeux attendus et les utilisent pour attirer les gamers. Il faut bien entendu éviter de cliquer sur des liens ou des pièces jointes douteuses.
– Solution de sécurité active : pour optimiser les performances, la tentation de désactiver la solution de sécurité pendant le jeu est grande. C’est justement ce qu’attendent les attaquants !
– Des logiciels mis à jour : Le système d’exploitation et tous les logiciels utilisés doivent être constamment maintenus à jour. Cela empêche les cybercriminels d’utiliser les failles de sécurité.
– Authentification forte : les comptes Steam et Origin proposent des systèmes d’authentification à deux facteurs qu’il est conseillé de mettre en place afin de sécuriser efficacement ces comptes contre le vol.
– Privilégier les plateformes officielles : les gamers doivent opter pour les plateformes de vente officielles. Des tarifs trop bas sur des sites exotiques doivent alerter l’acheteur.

Chiffrement, cryptage, Cybersécurité, Espionnae, Facebook, ID, Identité numérique, Particuliers, Phishing, Social engineering, Vie privée

Facebook ne corrige pas un problème de sécurité

Une vulnérabilité informatique vise le site Facebook, et ses utilisateurs. Un problème qui pourrait mal finir si le géant américain ne corrige pas rapidement.

En avril 2015, Reza Moaiandin, directeur technique pour Salt Agency, découvrait une faille de sécurité dans Facebook. La vulnérabilité pourrait permettre à un pirate de décrypter les identifiants des utilisateurs du portail communautaire. Pour que l’attaque fonctionne, Reza a utilisé des applications (API) proposées Facebook. Un problème qui semble sérieux. La fuite pourrait permettre de recueillir des millions de données personnelles d’utilisateurs (nom, numéro de téléphone, emplacement, images, …).

Facebook a été alerté en avril 2015, mais n’a toujours pas corrigé. Via cette faille, un malveillant peut alors communiquer avec le Facebook GraphQL et obtenir autant de détails que possible, en faisant passer l’ID de la cible, pourtant chiffrée, à la moulinette.

En utilisant un script maison, Reza a testé sa découverte. Bilan, la fuite de données est exponentielle et  risque de devenir un problème sérieux si aucune limite est mise en place par Facebook. « La communication avec ces API doit être pré-chiffrée, explique Reza, et d’autres mesures doivent être mises en place avant que cette faille ne soit découverte par quelqu’un de beaucoup plus dangereux. » Le chercheur indique avoir trouvé cette faille, par hasard !

backdoor, Cybersécurité, Entreprise, Fuite de données, Logiciels, Mise à jour, Patch, Propriété Industrielle, Virus

Symantec.. la prochaine passoire ?

Un commentaire

Découverte de plusieurs failles dans les outils de sécurité Symantec. Un pirate peut installer et exécuter un code distant malveillant.

Le chercheur en sécurité informatique Markus Wulftange de chez Code White Sec vient de mettre à jour une faille gênante pour les outils de sécurité informatique de l’éditeur Américain Symantec : Symantec Endpoint Protection (SEP). Il est possible d’exploiter un contournement d’authentification. Bilan, il devient possible d’exécuter un code distant non authentifié et de déposer/exécuter un shell dans la machine censée être protégée.

Symantec Endpoint Protection visant avant tout les entreprises, voilà une possibilité malveillante qui fait tache. Markus Wulftange a découvert six autres vulnérabilités critiques dans Symantec Endpoint Protection (SEP) Suite 12.1, affectant les versions antérieures à 12.1 RU6 MP1 (SYM15-007).

Des failles intéressantes alors que l’on apprenait, en juin dernier, que la National Security Agency, les grandes oreilles de l’Oncle Sam, disposerait d’un logiciel capable de faire sauter les antivirus et de suivre les utilisateurs des outils de protection informatique. La NSA posséde-t-elle aussi ces failles ? Snowden n’est pas au courant !

Android, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, ios, Sécurité, Smartphone, Vie privée, Windows phone

BYOD : selon une enquête, seuls 11 % des utilisateurs protègent l’accès à leur mobile

Selon une enquête réalisée par Kaspersky Lab avec B2B International, environ la moitié des utilisateurs de smartphones et de tablettes interrogés se servent de leur appareil mobile pour le travail. Cependant, seul 1 sur 10 se préoccupe sérieusement de protéger ses informations professionnelles contre les cybercriminels.

Les résultats révèlent que beaucoup d’employés de grandes ou moyennes entreprises utilisent leurs appareils mobiles personnels au travail : 36 % des participants à l’enquête y conservent des fichiers professionnels, et 34 % des e-mails professionnels.

Parfois, des informations plus confidentielles peuvent elles aussi se trouver sur les mobiles des utilisateurs : 18% y stockent les mots de passe donnant accès à leurs comptes de messagerie professionnelle, dont 11 % concernent des accès réseaux ou des VPN. Or ce type d’informations représente une cible parfaite pour les cybercriminels à la recherche de secrets d’entreprise.

« L’orientation du marché IT vers la mobilité et le cloud offre des possibilités d’attaques supplémentaires aux hackers et augmentent les risques des entreprises de voir leurs innovations dévoilées, copiées. Par conséquent, la protection méthodique et systématique des données et de leurs transmissions constituent désormais un challenge de premier plan pour les entreprises. Un challenge qui engage leur compétitivité sur le marché, et donc leur santé économique » commente à DataSecurityBreach.fr Tanguy de Coatpont, Directeur Général de Kaspersky Lab France et Afrique du Nord.

En dépit de ces risques, le modèle BYOD offre de nombreux avantages aux entreprises. Cependant, il nécessite une infrastructure informatique et une politique de sécurité adaptées pour un niveau de sécurité optimum.

Exemples de règles à suivre dans cette démarche

·           Le processus d’intégration du BYOD doit être traité en détails et inclure un audit de l’infrastructure, une phase de conception et un déploiement pilote.

·           Choisir une solution unique et complète pour assurer la sécurité de l’ensemble du réseau de l’entreprise, intégrant la protection des appareils mobiles afin d’éviter d’éventuels problèmes de compatibilité, rendant la tâche plus pénible pour les services informatiques.

·           Centraliser la gestion des appareils mobiles sur le réseau de l’entreprise et gérer les autorisations, installations et les mises à jour des applications mobiles via des portails dédiés à l’entreprise.

·           Mettre l’accent sur la formation et la sensibilisation des employés à la sécurité informatique. L’apprentissage des règles de sécurité informatique basiques tels que le choix de mots de passe, les attitudes à respecter lorsqu’on trouve une clé USB ou sur les réseaux sociaux, ou encore l’importance du chiffrement, doivent désormais être considérées comme indispensable au même titre qu’une formation métier, comme l’explique cette tribune.

·           Plus important encore, anticiper la crise et créer des scénarios types pour bloquer l’accès des appareils personnels au réseau de l’entreprise et la suppression des données confidentielles en cas de perte ou de vol de terminaux.

D’autres conseils ici et là.

Apple, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, OS X, Patch, Piratage, Propriété Industrielle, Sauvegarde

Le premier worm pour MAC débarque

2 commentaires

Des chercheurs découvrent comment corrompre le firmware des appareils Apple avec un worm dédié. La fin des MAC ?

Quand vous parlez informatique, les amateurs fortunés d’un MAC vous crieront haut et fort que les machines d’Apple sont infaillibles. Pas de virus, pas de piratage, pas de danger. Bon, il faut aussi admettre que les utilisateurs de MAC sont tellement sûrs de leur fait qu’ils oublient les différents cas ayant visé leur machine, comme ce keylogger indirect caché. Là ou les utilisateurs de MAC avaient plus ou moins raison est que des attaques directes, comme à l’encontre d’un ordinateur sous Windows, il n’en existait pas, du moins d’efficace. A première vue, la découverte de chercheurs américains risque de changer la donne si des pirates se penchent sur le problème.

Trois chercheurs [Xeno Kovah, Trammell Hudson et Corey Kallenberg] ont constaté que plusieurs vulnérabilités connues affectant le firmware de tous les meilleurs fabricants de PC peuvent également frapper le firmware du MAC. Qui plus est, les chercheurs ont conçu un ver, un worm « proof-of-concept », qui permettrait une attaque de firmware afin de se diffuser automatiquement de MacBook à MacBook, sans la nécessité pour eux d’être mis en réseau.

L’année dernière, Kovah et son partenaire Corey Kallenberg ont découvert une série de vulnérabilités de firmware qui touchaient 80% des ordinateurs qu’ils avaient examiné, y compris ceux de Dell, Lenovo, Samsung ou encore HP.

Bien que les fabricants de matériel ont mis en œuvre certaines protections pour éviter la modification sauvage de leur firmware, les chercheurs ont constaté qu’il restait assez simple de contourner les protections et flasher de nouveau le BIOS afin d’implanter un code malveillant. Les chercheurs ont alors décidé de voir si les mêmes vulnérabilités pouvaient s’appliquer à Apple. Ils ont constaté que oui, comme il l’indique dans Wired !

Démonstration du Thunderstrike 2 « firmworm » attendu lors du DEFCON 2015 de Las Vegas, cette semaine.

Argent, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Particuliers, Phishing, Social engineering, spam, Vie privée

Votre adresse mail vaut de l’or

2 commentaires

300.000 adresses électroniques de Belges à 300 dollars. Plus de 1 million de mails de Français pour 400 $. Autant pour 600.000 Suisses. Le business des adresses mails ne connait pas la crise.

Le business du spam va bien, merci pour lui. Des sociétés se sont même spécialisées dans la commercialisation d’adresses électroniques « à haute valeur ajoutée » indique l’un d’eux. Dernier cas en date, la proposition de la « société » chinoise Weng Jiao. 102 pays proposés, plusieurs millions d’adresses électroniques disponibles, classées par régions, professions, …

Plusieurs millions d’adresses électroniques disponibles pour des spams.

Par exemple, 5 millions d’adresses mails « en vrac » coutent 999 dollars chez cet E-mail addresses databases service. L’acheteur souhaite cibler un pays précis, pas de problème : 358.868 adresses électroniques appartenant à des belges coutent 300 dollars. 1.393.935 million de mails made un France, 400 $. Vous visez des Suisses ? 641.143 mails pour 400 dollars.

La plus importante des BDD est celle de l’Allemagne, avec 3.678.748 pourriels possibles. La Russie, 2.006.321. Le Canada, l’Australie et les USA sont proposés à 1.288.691, 1.087.139 et 888.530 adresses à spammer. Le reste des pays, entre 1200 et 40.000 mails sont vendus entre 50 et 120 dollars. Le commerçant propose aussi de quoi envoyer les messages et les preuves de la diffusion.

Ces possibilités ont été volées dans des boutiques en ligne, des forums mal protégés ou par de simple phishing sous forme de faux jeux. L’important pour le vendeur, comme pour l’acheteur, qu’un humain soit bien présent derrière la missive. A noter que certaines arnaques permettent de valider ou non l’adresse. Le bouton/lien « Désinscription » – « Unsubscribe » assure aux vendeurs d’adresses que derrière l’arobase se cache bien un futur spammé. A noter que certains mots clés Google sont particulièrement efficace pour faire ressortir des bases de données mails du moteur de recherche américain. Bref, prudence quand vous vous inscrivez quelque part. Préférez une adresse unique par service, ainsi, en cas de vol/utilisation, il vous suffira de fermer le compte en question.

Argent, Arnaque, Bitcoin, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Logiciels, Paiement en ligne, Particuliers, Piratage, ransomware, Social engineering

TeslaCrypt 2.0 : jeu, chiffre et match

Le ransomware crypteur TeslaCrypt 2.0 travestit son identité pour réclamer une rançon de 500 dollars La plupart des infections par TeslaCrypt se produisent aux Etats-Unis, en Allemagne et en Espagne, suivis de l’Italie, de la France et du Royaume-Uni.

Kaspersky Lab a détecté un comportement curieux dans une nouvelle menace de la famille de ransomwares crypteurs TeslaCrypt. La version 2.0 du cheval de Troie notoirement connu pour infecter les ordinateurs de joueurs affiche en effet dans le navigateur une page HTML qui est une réplique exacte de CryptoWall 3.0, un autre ransomware célèbre. Sans doute les criminels le font-ils avec une intention bien précise : à ce jour, de nombreux fichiers cryptés par CryptoWall n’ont pas pu être décryptés, ce qui n’est pas le cas pour de multiples exemples observés d’infection par TeslaCrypt. Une fois l’infection réussie, le programme malveillant réclame une rançon de 500 dollars/Euros sous forme de bitcoins en échange de la clé de décryptage ; si la victime tarde à obtempérer, le montant de la rançon double.

Les premiers échantillons de TeslaCrypt ont été détectés en février 2015 et ce nouveau cheval de Troie s’est acquis une notoriété immédiate auprès de joueurs sur ordinateurs. Parmi d’autres types de fichiers ciblés, il tente d’infecter des fichiers typiques de l’univers des jeux : parties sauvegardées, profils d’utilisateurs, replays, etc. Cependant, TeslaCrypt ne crypte pas les fichiers dont la taille est supérieure à 268 Mo.

Mécanisme d’infection
Quand TeslaCrypt infecte une nouvelle victime, il génère une adresse Bitcoin distincte pour recevoir le paiement de sa rançon, ainsi qu’une clé secrète permettant de lever le cryptage. Les serveurs de commande C&C de TeslaCrypt se trouvent dans le réseau Tor. La version 2.0 du cheval de Troie utilise deux jeux de clés : l’un est unique au sein d’un système infecté, l’autre est généré à répétition chaque fois que le programme malveillant est relancé dans le système. En outre, la clé secrète servant à crypter les fichiers de l’utilisateur n’est pas enregistrée sur le disque dur, ce qui complique nettement leur décryptage.

Les malwares de la famille TeslaCrypt ont été observés se propageant via les kits d’exploitation de vulnérabilités Angler, Sweet Orange et Nuclear. Dans ce mécanisme de propagation, la victime visite un site Web infecté et le code malveillant exploite des vulnérabilités du navigateur, le plus souvent dans des modules additionnels, pour installer le malware spécialisé sur l’ordinateur cible.

Recommandations aux utilisateurs
·         Effectuez régulièrement des sauvegardes de tous vos fichiers importants. Les copies doivent être conservées sur des supports déconnectés physiquement de l’ordinateur aussitôt la sauvegarde effectuée.

·         Il est vital de mettre à jour vos logiciels à mesure que de nouvelles versions sont disponibles, en particulier votre navigateur et ses modules additionnels.

·         Au cas où un programme malveillant parvient néanmoins à s’infiltrer dans votre système, il sera le plus efficacement contré par la dernière version en date d’une solution de sécurité dont les bases de données sont actualisées et les modules de protection activés.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle, Scada

La sécurité informatique au sein des environnements industriels 4.0 : le savoir est la meilleure protection

Avec l’Industrie 4.0, les entreprises du secteur industriel ont accès à l’Internet… mais risquent également d’ouvrir leurs portes aux pirates. La meilleure façon de se protéger des fuites de données et du sabotage est de tirer parti d’informations décisionnelles. Des initiatives comme Shodan et Conpot permettent aux équipes chargées de la sécurité de profiter de grandes quantités de renseignements sur leurs propres vulnérabilités et les méthodes des pirates. Comme le dit notre slogan, chez DataSecurityBreach.fr, s’informer, c’est déjà se sécuriser.

Les sites de production des sociétés industrielles et du secteur de l’énergie ont été relativement à l’abri des attaques au cours des dernières décennies. Les systèmes de contrôle industriel (ICS) les plus répandus tels que les SCADA étaient optimisés pour accroître le rendement, et tenus à l’écart d’Internet (créant ainsi le fameux « Air Gap », ou « lame d’air »). Ils communiquaient à l’aide de protocoles propriétaires tels que Modbus, Profibus, S7comm ou DNP3, et étaient rarement les cibles des cybercriminels.

La situation a changé. L’interconnexion des systèmes de production est la promesse de gains énormes en matière de rendement, ce qui pousse de plus en plus d’entreprises à ouvrir leurs réseaux. Cette approche leur permet de simplifier et de centraliser la gestion de leur système, facilite la fourniture de nouveaux services, et contribue à minimiser les temps d’arrêt liés à l’assistance et à la maintenance, ainsi que leurs coûts.

Connecter des réseaux ICS à Internet présente cependant des menaces réelles. Un pirate parvenant à accéder au réseau peut alors infiltrer l’environnement de production étape par étape. Le logiciel et le matériel propriétaires utilisés ne sont généralement pas intégrés avec les systèmes de sécurité, et sont donc essentiellement non protégés. Selon ses objectifs et ses intentions, le pirate peut commencer à récupérer des données sensibles, manipuler les processus de production ou même saboter l’environnement de production tout entier. Le potentiel de dégâts de ce type d’attaques (prenons l’exemple marquant d’une attaque menée à l’encontre d’une centrale) est évidemment nettement plus élevé que celui d’une attaque MITM (l’interception de communications entre deux parties) contre une entreprise du secteur tertiaire ou autre.

Au commencement, il y eut Stuxnet
Au cours des dernières années, de nombreuses attaques de ce genre ont été enregistrées, Stuxnet en étant l’exemple le plus connu. En 2010, le ver SCADA (qui sans doute a été développé par des organismes gouvernementaux occidentaux) a ainsi saboté le projet de recherche nucléaire iranien. Ce fut le premier logiciel malveillant prouvant (officiellement) que du code informatique pouvait provoquer des dégâts sur des équipements matériels. Depuis, bien d’autres ont été menées à l’encontre de sites industriels, souvent en utilisant des logiciels malveillants créés sur mesure avec des fonctionnalités destinés aux ICS, comme Duqu ou Havex.

L’organe ICS-CERT (géré par le département américain de la Sécurité intérieure, et spécialisée dans la protection des infrastructures critiques) énumère d’ailleurs plusieurs faits inquiétants dans son Rapport pour l’année 2014 : son équipe d’analyse de la sécurité a été consultée dans près de 250 cas afin de participer à l’analyse de cyberattaques lancées sur des cibles critiques. Une grande partie de ces attaques étaient ciblées, les pirates s’infiltrant souvent dans les entreprises par la partie connectée à Internet de leur réseau à l’aide de logiciels malveillants sur mesure. Les cybercriminels utilisent également une grande variété de techniques. Selon l’ICS-CERT, le Spear phishing (une variante de hameçonnage où les employés sont convaincus d’exécuter des logiciels malveillants grâce à des e-mails semblant provenir de leurs supérieurs) reste le vecteur d’attaque le plus populaire. Mais d’autres menaces gagnent aussi en popularité, comme les attaques aux « points d’eau » (« watering hole »), une stratégie consistant à remplacer les mises à jour logicielles sur les sites des éditeurs par des chevaux de Troie, eux aussi taillés sur mesure.

Le BSI répertorie les attaques contre les ICS

L’Office fédéral allemand pour la sécurité des technologies de l’information (BSI) brosse un tableau similaire. Son rapport annuel « État des lieux de la sécurité informatique en Allemagne en 2014 » documente, entre autres, une attaque réussie sur une aciérie allemande. Les pirates ont utilisé les méthodes du Spear Phishing et de l’ingénierie sociale pour accéder au réseau de l’entreprise victime. Ils ont alors infiltré l’environnement de production, où ils ont causé d’énormes dégâts en compromettant plusieurs systèmes de contrôle. Le BSI affirme que les cybercriminels possédaient des connaissances détaillées sur les systèmes de contrôle industriel et les processus de production, en plus de leurs évidentes compétences en informatiques.

L’information est d’une importance cruciale

La guerre cybernétique a donc atteint les sites de production. Cela ne signifie pas nécessairement que le secteur industriel devrait renoncer au potentiel offert par l’interconnectivité, ni même en ralentir la progression. Les services chargés de la sécurité informatique doivent utiliser des systèmes de sécurité existants pour faire en sorte que les réseaux soient connectés à l’Internet de façon sécurisée. Mais pour cela, il leur faut d’abord des informations décisionnelles et détaillées. Ils doivent également connaître les vulnérabilités de leurs réseaux de production, les vecteurs d’attaque et les outils de piratage, ce qui leur permettra d’analyser les attaques, de neutraliser les logiciels malveillants et de réparer les dégâts éventuels.

Les experts en matière de sécurité cherchant à rassembler ces informations peuvent également s’appuyer sur leurs grandes connaissances et leurs réseaux de renseignement établis : d’une certaine façon, les attaques contre les systèmes industriels sont assez similaires aux attaques classiques contre les environnements informatiques des entreprises du tertiaire. Mais, bien que la protection effective de certains systèmes ICS puisse être très étendue, le problème reste que les informations disponibles sont limitées. Heureusement, la situation évolue également à ce niveau. Plusieurs initiatives de sécurité innovantes sont axées sur la protection des milieux industriels, et ont clairement pour principal objectif de fournir aux professionnels de la sécurité les renseignements dont ils ont besoin sur les menaces et les vulnérabilités.

Shodan et honeypot Conpot ICS/SCADA, des initiatives intéressantes

Shodan : le moteur de recherche pour l’IdO
Le moteur de recherche Shodan a été créé par le développeur John Matherly en 2009, permettant ainsi aux utilisateurs de rechercher sur le web une grande variété de systèmes connectés à Internet. Contrairement aux moteurs orientés contenu comme Google, Shodan utilise les scans des ports des adresses IP disponibles, puis recueille et indexe les bannières qu’il reçoit ensuite. Il peut ainsi parcourir le Web à la recherche de serveurs ou de routeurs d’un certain type, ou même de terminaux possédant des adresses IP comme des caméras de sécurité ou des dispositifs médicaux. Les utilisateurs peuvent créer leurs requêtes en utilisant une grande variété d’options de filtrage, par exemple en combinant des noms de fournisseurs, des informations sur des ports, des codes ou des protocoles régionaux afin de trouver des serveurs SCADA dans leur pays. Shodan est donc un bon outil pour localiser les vulnérabilités ou les systèmes mal configurés au sein de votre réseau : si une recherche révèle que l’un des automates ou l’une des IHM sur la plage d’IP de votre entreprise est visible sur Internet, vous savez que l’un de vos systèmes est probablement mal configuré et avez la possibilité de corriger cette erreur. Les vulnérabilités causées par des systèmes non patchés, des ports ouverts ou des mots de passe par défaut inchangés peuvent être repérées et corrigées tout aussi facilement. Cependant, si vous trouvez votre système sur Shodan, il est probable que vous ne soyez pas le seul. La proactivité reste donc de mise.

En outre, ce moteur de recherche n’est pas sans détracteurs. Comme presque toutes les solutions de test et de gestion des vulnérabilités, Shodan est souvent critiqué car il peut être utilisé à mauvais escient comme outil de piratage puissant, ce qui est incontestable : des boîtes à outils de piratage avec des interfaces Shodan existent depuis longtemps sur le Darknet. Mais la plupart des experts en sécurité s’accordent sur le fait que des fonctions de recherche similaires sont également disponibles en utilisant des botnets. Les professionnels de la sécurité des environnements industriels devraient clairement envisager d’intégrer Shodan à leur gestion des vulnérabilités.

Analyser les vulnérabilités et minimiser la visibilité d’un ICS sur Internet est de toute évidence un premier pas important dans la sécurisation des environnements de production. Mais la recrudescence des menaces ciblées persistantes et complexes (APT), qui sont créées sur mesure pour passer à travers les mailles des systèmes de sécurité existants, oblige les équipes chargées de la sécurité à analyser l’éventail des menaces tout aussi minutieusement.

Malheureusement, peu d’informations sont disponibles sur la façon dont les attaques contre les sites industriels surviennent, ou alors ces renseignements sont publiés trop longtemps après un incident. En effet, peu de cas sont documentés, et peu d’informations tangibles sur les menaces ont été recueillies jusqu’à présent. L’initiative de sécurité Conpot a pour but de changer la donne.

Conpot : des pots de miel pour le secteur industriel

L’initiative Conpot (abréviation de « système de contrôle Honeypot ») a été créée sous l’égide du Projet Honeynet par un groupe de professionnels de la sécurité expérimentés, parmi lesquels Lukas Rist de Blue Coat Systems. Le principe est de créer partout sur Internet des systèmes virtuels interactifs se comportant exactement comme des serveurs ICS ou des réseaux industriels non protégés. Une fois ces systèmes en place, le développeur du système honeypot (« pot de miel ») n’a plus qu’à attendre qu’un pirate attaque le site, terminal distant (RTU) ou ICS ainsi émulé, et peut alors observer et analyser l’attaque étape par étape. Par nature, tous les cas permettent de procéder à une analyse utile de leur vecteur d’attaque. L’intérêt supérieur de ces pots de miel se manifeste lorsque les membres de cette initiative peuvent corréler les données de plusieurs dizaines d’attaques, puis analyser leurs tendances et évolutions, identifier d’éventuels axes régionaux ou thématiques d’attaque, et recueillir ainsi davantage des données précieuses.

Habituellement, pour un analyste, rechercher une anomalie dans son réseau de production est comme chercher une aiguille dans une botte de foin. En déployant un honeypot dans votre réseau, tous les événements qui atteignent ce terminal sont susceptibles d’être des « aiguilles » (par exemple les attaques ou dispositifs mal configurés), étant donné qu’aucun élément réel n’est censé communiquer avec ce pot de miel. Ce dernier peut également être vu comme un leurre : le temps qu’y passe le pirate ainsi piégé correspond au laps de temps dont vous disposez pour sécuriser votre infrastructure critique avant qu’elle ne soit compromise à son tour.

N’importe quel professionnel de la sécurité peut contribuer à Conpot. L’émulateur est disponible en tant que logiciel Open Source à l’adresse www.conpot.org. Avec cet outil puissant, chaque développeur a la possibilité de concevoir un modèle réaliste et virtuel de son environnement, et de le connecter à Internet. Ainsi, les responsables de la sécurité peuvent obtenir des renseignements utiles leur indiquant ce à quoi ils doivent s’attendre en connectant leurs systèmes à Internet, et peuvent planifier leurs défenses en conséquence.

Les cyberattaques menées à l’encontre d’environnements industriels sont un phénomène réel. Ces attaques suivent essentiellement les mêmes mécanismes que pour les environnements des entreprises classiques du tertiaire. Une grande partie des attaques ont des motifs professionnels : d’abord, parce que les lamers (ou « script kiddies ») ne sont pas encore vraiment actifs dans ce segment, et ensuite parce que l’énorme potentiel de dégâts (ou la valeur des actifs) suscite l’intérêt d’acteurs importants tels que des organismes gouvernementaux, des groupes terroristes et des voleurs de données professionnelles. Les entreprises cherchant à sécuriser leurs réseaux doivent donc vérifier et minimiser la visibilité de leurs systèmes ICS sur Internet. Face à la recrudescence des menaces complexes, il est de plus en plus important de collecter de renseignements sur les menaces. Les équipes de sécurité ont besoin d’informations détaillées sur les vecteurs d’attaque et sur l’ensemble du cycle de vie des menaces. Ils peuvent alors élaborer une stratégie de défense globale en s’appuyant sur ces informations. Des initiatives telles Shodan et Conpot sont d’ailleurs un bon point de départ pour la collecte des renseignements nécessaires.

En parallèle, les entreprises doivent mettre en œuvre des meilleures pratiques de sécurité et protéger minutieusement les parties de leurs réseaux accessibles au public. Des solutions de sécurité dédiées aux ICS existent également pour les environnements particulièrement sensibles. Par exemple, Blue Coat propose la solution d’analyse ICS Protection Scanner Station, qui protège les systèmes industriels des logiciels malveillants véhiculés par des périphériques USB. En outre, la solution Security Analytics Platform Analytics propose également un module SCADA ThreatBLADE permettant d’identifier en temps réel les activités potentiellement malveillantes ciblant les systèmes SCADA.

Le rêve d’une solution parfaitement intégrée pour la protection des environnements industriels ne deviendra réalité qu’une fois que l’ensemble des différentes normes industrielles propriétaires auront été remplacées par des systèmes informatiques standard, et ces derniers intégrés aux architectures de sécurité existantes. Les technologies nécessaires pour cela (le protocole réseau IPv6, la surveillance complète des réseaux et la gestion rigoureuse des correctifs et des vulnérabilités) existent maintenant depuis un certain temps. L’étape suivante est leur mise en œuvre complète, ce qui pourrait prendre un certain temps en raison des cycles de vie plus longs des équipements industriels. (Christophe Birkeland pour DataSecurityBreacg.fr. Il est directeur technique en charge de la division Malware Analysis chez Blue Coat Systems).

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Cyber-sécurité : Les PME démunies face aux nouveaux risques

La sécurité pose un réel problème aux PME qui n’ont bien souvent pas les moyens d’avoir une équipe informatique dédiée afin de faire face à tous les challenges engendrés par les nouvelles technologies et les nouvelles habitudes de vie. A ces nouveaux challenges de sécurisation s’ajoute l’inventivité des hackers qui ne cessent de renouveler leurs techniques d’attaques.

Pour répondre à cette problématique, l’ANSSI (agence nationale de la sécurité des systèmes d’information) et la CGPME (conférence Générale des Petites et Moyennes Entreprises) ont publié un guide de bonnes pratiques de l’informatique relatant les 12 règles essentielles pour sécuriser les équipements informatiques. Les mesures sont variées, et pour certaines basiques : sécurisation des mots de passe, de la connexion wi-fi, sauvegardes régulières ou encore mise à jour des logiciels pour disposer des derniers patchs de sécurité. Mais, parmi ces mesures basiques, certaines règles viennent encadrer les nouveaux usages informatiques.

Règle n°3 : Bien connaître ses utilisateurs et ses prestataires
Le conseil pourrait sembler évident mais à l’heure des services hébergés en cloud, il est primordial de connaître les standards de son fournisseur en termes de sécurité et de conformité. Selon une étude Freeform Dynamics commandée par Barracuda Networks, 69% des entreprises prévoient une utilisation de plus en plus fréquente du cloud pour les services essentiels tels que les emails et la gestion de la relation client. Pour bien penser sa sécurité, il faut aussi comprendre quelle expérience les utilisateurs feront des infrastructures et des services informatiques.

Règle n°6 : Être aussi prudent avec son smartphone ou sa tablette qu’avec son ordinateur
Autre tendance pouvant affecter la sécurité de l’entreprise : l’utilisation croissante de tablettes et de smartphones – qu’ils soient personnels (BYOD) ou fournis par l’entreprise. Les collaborateurs utilisent ces terminaux pour travailler et pour accéder au réseau de l’entreprise, toujours selon l’étude Freeform Dynamics : 62% des interrogés prévoient une augmentation de l’accès mobile et à distance aux réseaux informatiques de l’entreprise.

Pourtant ce matériel reste très peu sécurisé et représente un danger notable. Chaque appareil personnel connecté au réseau représente une porte d’entrée potentielle pour les cyber-attaques.  Les entreprises doivent donc s’assurer de la sécurisation de ces terminaux, soit en les fournissant elles-mêmes à ses employés soit en offrant une solution pour sécuriser leurs propres appareils.

Les entreprises sont conscientes des problèmes de cyber-sécurité auxquelles elles se confrontent, mais ne savent pas par où les attaquer. Le guide prodigue les conseils essentiels, les avertit du danger, mais il est essentiel maintenant d’enseigner aux PME les bonnes pratiques de la sécurité informatique. (Par Stéphane Castagné, pour DataSecurityBreach.fr – Responsable Commercial France – Barracuda Networks)

BYOD, Cloud, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Propriété Industrielle, Sauvegarde, Sécurité, Smartphone

Une technologie anti pirate signée Microsoft

Des milliers de cas démontrent que les pirates, une fois dans un serveur infiltré, se cachent et agissent sans même que le propriétaire s’en aperçoive. Il est souvent trop tard quand la première alerte apparait sur les prompteurs. Microsoft va proposer un cerbère capable de repérer la moindre modification.

Les pirates sont connus pour se cacher sur les réseaux d’entreprise, et cela durant des semaines, des mois. Ils collectent des données, surveillent ou se servent de l’espace à différentes fins (DDoS, Bot, Chat, stockage, entrainements, …). Microsoft affirme qu’il veut aborder ce problème pour ses clients et a annoncé que son Advanced Threat Analytics, qui sera proposé le mois prochain, est capable de bloquer les pirates. Son outil apprend, un peu à la sauce « Chappie » [Le film].

L’apprentissage de la machine et de l’analyse comportementale doivent permettre de détecter les activités malveillantes qui pourraient passer inaperçus normalement. Une technologie acquise, l’année derniére par Microsoft, lors de l’achat de la start-up israélienne Aorato.

L’ATA utilise les temps de déplacement et les données géographiques pour détecter une connexion saine, ou non. Bref, si vous travaillez à Dunkerque et que la connexion, ou des téléchargements, se font à Manille, ATA alerte et bloque. A suivre !

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, loi, Particuliers, Sauvegarde, Social engineering, Téléphonie, Vie privée

Fuite de données dans les poubelles de Motel 6

Retrouver des photocopies de permis de conduire, des copies de plaques d’immatriculations, des signatures ou encore des identités à la sortie d’un Hôtel, voilà une fuite de données pas courante… ou presque.

La chaîne américaine d’hôtels, Motel 6, fait face à une fuite de données peu courante. Une cliente a découvert des centaines de dossiers aux pieds des poubelles d’une des structures hôtelière du groupe. En regardant les dossiers, des contenus privés et sensibles allant des photocopies de permis de conduire, des numéros de téléphones, des numéros de plaques d’immatriculation et même des signatures de clients.

A première vue l’Oncle Sam a du mal à faire comprendre à certaines entreprises comment bien détruire les données privées et sensibles qu’elles collectent. Comme ces confettis utilisés pour fêtes les championnes du monde de football qui n’étaient rien d’autre que des dossiers médicaux découpés en petites bandes de papier… pour faire la fête ! (Image KalTv)

Apple, Cybersécurité, Entreprise, Fuite de données, ios, iOS, Logiciels, Mise à jour, OS X, Patch, Smartphone

L’Attaque Zero Day sur OSX et iOS : ce qu’il faut savoir

Comme beaucoup d’entre vous le savent probablement, un groupe de chercheurs a récemment révélé l’existence d’un ensemble d’exploits zero-day affectant aussi bien les dernières versions de Mac OSX que d’iOS. Vous trouverez ici des détails sur ces attaques, ainsi que le compte-rendu de recherche.

Dans le cadre de sa stratégie permanente de gestion des risques, l’équipe Good Technology Security a enquêté sur les rapports faisant état de vulnérabilités potentielles au niveau des systèmes d’exploitation Apple OS X et iOS.

Après l’examen du document technique publié par ces chercheurs, la conclusion est que la majorité des menaces évoquées s’appliquent à OS X, et que la seule menace pour iOS est le problème du « Scheme Hijacking », qui profite d’une faiblesse au niveau du système de communication inter processus (Inter-Process Communication ou IPC) d’iOS entre les applications. Selon les chercheurs, cette vulnérabilité empêche les applications d’authentifier correctement l’application à laquelle elles se connectent.

Fonctionnement de l’attaque

Apple iOS permet à différentes applications installées sur un même appareil iOS de communiquer entre elles. Cette communication ne nécessite d’origine aucune authentification. C’est ainsi qu’une application non autorisée/malveillante peut intercepter des données et des informations d’authentification destinées à une autre application.  Le rapport de recherche décrit un scénario selon lequel un système d’identification unique (SSO) Facebook pourrait être compromis. Le même scénario pourrait s’appliquer à une application d’entreprise transmettant des données d’authentification à l’aide du protocole OpenURL.

Analyse de Good Technology

Good n’est pas vulnérable à cette attaque, car nous n’utilisons pas uniquement l’IPC natif pour les communications entre applications. Pour cela, Good met en place un service sécurisé baptisé « Communications inter conteneurs » (ICC). Notre système ICC permet à chaque application Good d’authentifier de façon sécurisée l’autre application Good avant qu’elles soient autorisées à communiquer entre elles. L’ICC atténue la vulnérabilité de l’IPC et empêche les applications non autorisées d’intercepter des données sensibles, comme des informations d’authentification transmises via le protocole OpenURL, comme décrit précédemment.

Des rapports préliminaires du secteur indiquent que le trousseau d’Apple iOS est vulnérable. Après l’examen détaillé du document publié par les chercheurs, il est clair que l’attaque envers ce trousseau ne fonctionne que sur OS X. Cependant, dans l’éventualité d’un problème au niveau du trousseau d’iOS, Good ne serait pas affecté. En effet, par défaut, nous n’utilisons pas cette ressource afin de stocker des clés. Good stocke les identifiants professionnels dans des conteneurs sécurisés à l’aide de ses propres systèmes de contrôle, notamment le chiffrement certifié FIPS au niveau des applications.

Que faire

Ces révélations montrent pourquoi les organisations doivent adopter une approche à plusieurs niveaux en matière de sécurité afin de protéger les données professionnelles présentes sur les smartphones et tablettes grand public. Good recommande de respecter les étapes suivantes :

1) Continuez de sensibiliser vos utilisateurs quant aux différentes menaces que courent leurs appareils mobiles.  Cela permet non seulement de protéger vos données professionnelles, mais également d’aider vos employés à protéger leurs données personnelles.

a. Encouragez vos utilisateurs à télécharger des applications depuis des sources fiables. Cela ne permettra peut-être pas de limiter entièrement les problèmes soulevés dans ce rapport, mais le risque que des applications malveillantes interagissent avec l’appareil d’un utilisateur en sera atténué.

b. Encouragez vos utilisateurs à signaler les applications qui, selon eux, présentent des lacunes en matière de fonctionnalités de protection des données personnelles ou professionnelles.

2) Activez la détection de jailbreak si ce n’est pas encore le cas. Bien que cette attaque pourrait contourner le processus de validation d’applications d’Apple, il vaut toujours mieux s’assurer que les applications soient téléchargées à partir de sources fiables.

3) En outre, si vous êtes client de Good, fournissez à vos utilisateurs les applications sécurisées par Good nécessaires pour gérer leurs activités de façon adaptée et avec une bonne productivité. Le conteneur de Good utilisant des communications entre applications indépendantes de l’ICC d’Apple, il ne sera pas affecté par cette attaque.

4) Assurez-vous que les systèmes de protection contre la perte de données appropriés soient activés afin d’empêcher vos données de s’échapper des applications protégées.

a. « Empêchez la copie à partir d’applications GD vers des applications non sécurisées par GD »

b. « Empêchez la copie à partir d’applications non sécurisées par GD vers des applications GD »

5) Enfin, les services d’évaluation de la réputation des applications tels que NowSecure, FireEye et autres devraient vous fournir les outils nécessaires afin d’analyser les risques que représentent les appareils de vos employés. (Good).

Argent, backdoor, Banque, Cyber-attaque, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

Arrestations des pirates présumés de la banque JPMorgan Chase

Les services secrets américains semblent avoir mis la main sur les présumés pirates informatiques de la banque JPMorgan Chase. Les polices américaine et isralienne ont arrêtés 4 hommes. Un cinquième est en fuite.

Quatre personnes ont été arrêtées en Israël et en Floride dans le cadre de l’enquête sur le piratage informatique de la banque américaine de la banque JPMorgan Chase. Les réseaux informatiques de la banque avaient été attaqués au mois d’août 2014. 6 millions de foyers, et 7 millions de PME, avaient été visés par ce pirarate. Le porte-parole de la police israélienne, Micky Rosenfeld, a confirmé à l’agence Reuters que trois personnes avaient été arrêtées. Ils ont été présentés devant le juge de Rishon Lezion (région de de Tel Aviv. L’agence Bloomberg indique qu’un cinquième suspect est en fuite. Les 5 présumés pirates sont aussi accusés de l’infiltration de plus de 500.000 PC via l’exploitation du botnet Qbot (aussi appelé Qakbot). 800 000 transactions bancaires en ligne auraient été compromises. 59 % des sessions appartenaient à cinq des plus importantes banques américaines. 52 % des systèmes infectés étaient des systèmes Windows XP ! Des arrestations qui font suite à l’affaire Darkode ?

Apple, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Leak, Logiciels, Mise à jour, OS X, Particuliers, Patch, Piratage

Prendre la main sur un Mac OS X 10.10, aussi simple qu’un tweet

3 commentaires

Une faille visant les utilisateurs de MAC permet à un pirate de prendre la main sur un ordinateur de la grosse pomme. Une faille triviale qui est déjà corrigée… pour les futurs MAC.

Prendre la main sur un mac, sous Mac OS X 10.10, aussi simplement que de cliquer sur une souris. Yosemite, la version 10.10 de l’OS de la grosse pomme, est la dernière version stable du système d’exploitation d’Apple. Bilan, de nombreuses personnes sont donc touchées par cette vulnérabilité. L’exploit est si trivial qu’il tient dans un tweet.

Pour devenir root, un pirate n’a pas grand chose à faire pour obtenir les privilèges de niveau administrateur sur un Mac OS X Yosemite. Un bug de sécurité qui peut être exploité par des logiciels malveillants. La faille a été découverte par Stefan Esser, un allemand spécialiste de la sécurité informatique pour MAC. Une attaque possible grâce à une variable d’environnement appelée DYLD_PRINT_TO_FILE qui a été ajouté dans le Yosemite. Un pirate n’a jouer avec la chose pour devenir calife à la place du calife.

Cette faille est présente dans la dernière version de Yosemite, OS X 10.10.4, et dans la version bêta (10.10.5). Il faut mettre à jour son MAC avec la version bêta El Capitan (OS X 10.11) pour ne plus être vulnérable. « Apple fournit des correctifs pour la sécurité des versions bêtas de ses futurs produits, mais ne résout pas les versions actuelles » termine Esser. Vous pouvez installer SUIDGuard, sur votre « vieux » Mac, en attendant de passer sous une version El Capitan propre et 100% terminée. (Merci à Metabaron)

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde

595 To données accessibles via de mauvaises configurations de MonGoDB

Le système de gestion de bases de données MongoDB mal configuré est une vraie pipelette. Un chercheur découvre que plus de 595 TO de données fuitent pour cette raison, sur Internet.

Les sites Internet d’envergure comme le New-York Times, eBay ou encore Foursquare utilisent MongoDB. Cet excellent système de gestion de base de données est pourtant une possibilité de fuite en cas de mauvaise configuration. Ici, ce n’est pas l’outil qui est dangereux, mais la manipulation humaine de ce dernier. John Matherly, un chercheur en sécurité informatique a constaté que près de 600 téraoctets de données sont accessibles en raison de cette mauvaise configuration ou obsolescence de MongoDB non mis à jour. Les sites cités ci-dessus sont des « fuiteurs« . Matherly explique que 30.000 bases de données sont ainsi exposées à travers l’utilisation d’anciennes versions de la plate-forme.