Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Adobe, Cybersécurité, Identité numérique, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Vie privée, Wordpress

Analyse Patch Tuesday de Mai 2015

Le Patch Tuesday de mai 2015 est plutôt consistant. En effet, Microsoft a publié 13 bulletins pour mai, ce qui porte à 53 le nombre de bulletins depuis le début de l’année, un nombre un peu supérieur à celui constaté ces cinq dernières années, 2015 était peut-être même l’année la plus active à ce jour en la matière. Notre suivi interne du nombre de vulnérabilités indique que plus de 140 bulletins ont été publiés depuis le début de l’année, également un autre nouveau record :

Nombre de bulletins Microsoft par an

Le principal patch du mois est MS15-043 pour Internet Explorer (IE). Il résout 22 vulnérabilités et expositions courantes (CVE) dont 14 classées comme critiques. Les CVE présentes dans IE permettent d’exécuter du code à distance (RCE) sur la machine ciblée en dirigeant la proie vers une page Web malveillante. Pour ce faire, l’attaquant dispose de tout un éventail de techniques dans leur son arsenal.

Il peut notamment :

  • Attaquer des logiciels couramment utilisés pour les blogs et les forums pour prendre le contrôle du site Web puis y insérer des liens vers des pages malveillantes. La campagne SoakSoak constitue un bon exemple de ces pratiques. De récentes vulnérabilités de cette classe ont été découvertes dans le moteur d’e-commerce Magento ainsi que dans le CMS WordPress.

  • Exploiter les services de fournisseurs de publicités en ligne pour insérer des liens malveillants qui seront automatiquement inclus dans des sites Web de confiance utilisant les services de ces fournisseurs, comme cela s’est encore produit récemment avec MadAdsMedia.

  • Utiliser l’empoisonnement des moteurs de recherche, une technique dérivée de l’optimisation pour les moteurs de recherche (SEO) pour attirer le trafic vers des sites spécifiques hébergeant ce contenu malveillant. Tous les sujets d’actualité sont bons : bébés royaux, accidents, événements sportifs récents, streaming gratuit, etc.

Les pirates ont à leur disposition de nombreux exploits destinés à tout un éventail de vulnérabilités et qu’ils adaptent à la machine ciblée. On peut avancer sans se tromper que leurs vecteurs d’attaque préférés sont notamment Internet Explorer, les vulnérabilités Windows natives et Adobe Flash, vecteurs pour lesquels sont diffusées des mises à jour mensuelles car plus de 20 vulnérabilités et expositions courantes affectent ces derniers chaque mois. Préparez-vous à installer ces mises à jour aussi rapidement que possible. Mais dans quel délai ? Le tout dernier rapport d’enquête sur les failles de données (VDBIR) publié par Verizon en avril 2015 indique que 50% des vulnérabilités récemment exploitées qu’ils ont identifiées l’ont été dans un délai de deux semaines.

Mais toutes ne sont pas exploitées. En fait, en 2014, seulement 5% de l’ensemble des vulnérabilités de type RCE au sein des logiciels Microsoft (voir leur présentation à RSA 2015) sont en fin de compte devenus des exploits fonctionnels :

La difficulté est de prédire quels sont ces 5%. Il est important de s’intéresser au passé pour voir ce qui a été attaqué et quelles vulnérabilités sont concernées par les packs d’exploits afin de se préparer en conséquence. US-CERT vient de publier une recommandation de 30 CVE fréquemment attaqués selon eux tandis que le BSI, l’Office fédéral allemand de la sécurité des technologies de l’information, agite aussi une liste des CVE à rechercher. Pour faire court, Windows, Internet Explorer, Adobe Flash, Java et Office figurent tout en haut de leur liste.

Mais revenons à notre Patch Tuesday si vous le voulez bien. Notre deuxième priorité est le bulletin MS15-044 qui résout deux vulnérabilités critiques au sein de polices de la bibliothèque GDI+ et qui affectent de nombreux produits Microsoft. Les pirates peuvent utiliser des pages Web ou des documents contenant des polices malveillantes pour exécuter du code à distance. Le déploiement de cette mise à jour de sécurité MS15-044 est hautement prioritaire.

Le bulletin MS15-046 est seulement classé comme important par Microsoft, mais il résout des vulnérabilités de format de fichier RCE à la fois dans Word et Excel que des pirates pourraient exploiter pour prendre le contrôle des machines de vos utilisateurs. Ces deux vulnérabilités ont pour vecteur d’attaque des documents attachés à un email envoyé au compte de messagerie de vos utilisateurs dans l’espoir que ces derniers ouvrent les pièces jointes. Et environ 10% des cibles les ouvrent selon des données de l’APWG (http://www.antiphishing.org) fournies dans le rapport VDBIR de Verizon.

À propos de vulnérabilités au sein de formats de fichiers entraînant une exécution RCE, Adobe diffuse également un patch ce mois-ci. Ce dernier résout des problèmes critiques dans Adobe Flash et Adobe Reader/Acrobat via les bulletins de sécurité APSB15-09 et APSB15-10. Pour Adobe Reader, le vecteur d’attaque est semblable au scénario Office décrit plus haut, à savoir qu’un pirate doit inciter un utilisateur à ouvrir un document PDF joint formaté de manière à exécuter l’exploit. Une fois installés sur la machine, les attaquants exploiteront ensuite une deuxième vulnérabilité pour obtenir des privilèges d’administration système, par exemple une vulnérabilité au niveau du noyau que Microsoft résout dans ses bulletins MS15-051 et MS15-052. Intégrez les deux bulletins à votre programme de patch critique.

Les autres bulletins de sécurité critiques concernent Journal Windows avec six vulnérabilités. Deux des vulnérabilités sont publiquement connues sans être pour autant exploitées. Corrigez rapidement et envisagez de désactiver l’application de prise de notes Journal Windows. Ne connaissant personne qui utilise cette application, je recommande donc de suivre la solution de contournement décrite dans l’avis de sécurité et de neutraliser la description du fichier « .jnl » pour contrer cette attaque et les prochaines à venir contre ce logiciel.

C’en est fini des bulletins de sécurité critiques pour mai. Les autres avis de sécurité concernent un certain nombre d’autres produits Microsoft parmi lesquels le logiciel serveur Sharepoint qui profite d’un patch pour une vulnérabilité de type RCE potentiel dans MS15-047.

Corrigez rapidement, d’ici deux semaines si vous le pouvez. (Par wkandek)

cryptolocker, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Virus

15 ans après le virus “I Love You” l’amour du risque perdure

Particuliers et entreprises ont-ils retenus les leçons du passé pour optimiser leur sécurité ? Pas si sûr…

Le 4 mai 2015 a marqué les 15 ans du ver “I love you” qui avait été très médiatisé car il s’agissait de l’une des premières attaques de grande ampleur ayant touché les entreprises, comme les particuliers, sur l’ensemble des continents. De fait, cette attaque reste très présente dans les esprits lorsqu’on évoque les sujets de sécurité. Mais 15 ans après, que peut-on retenir de ce message dont la portée s’est révélée particulièrement efficace ?

I Love You, aussi dénommé LoveLetter ou The LoveBug, a touché et a infecté près de 10 % des ordinateurs connectés à Internet il y a tout juste 15 ans et causé un préjudice estimé à 5 milliards de dollars. Celui-ci s’est propagé au travers des messageries Outlook et Outlook Express et consistait en un email contenant une lettre d’amour en pièce jointe. En moins d’une semaine, il avait touché plus de 3,1 millions de PC dans le monde entier.

L’efficacité de ce virus tient à trois facteurs relativement nouveaux à l’époque. Premièrement, il a tiré parti de la faiblesse des antivirus de l’époque, majoritairement incapables de le détecter et donc de le stopper. Les éditeurs ont d’ailleurs mis plusieurs heures, voire jours pour trouver une solution et la diffuser (pas de services Cloud pour faciliter le partage de connaissance et la diffusion de la mise à jour contenant la signature du ver).

Deuxièmement, il s’agissait de l’une des premières attaques exploitant une forme de social engineering. L’approche a été travaillée pour optimiser le taux d’ouverture de l’email et de nombre de clics sur la pièce jointe. Peu de gens se sont méfiés de cette lettre d’amour à première vue anodine. Troisièmement, la faible sensibilisation aux problématiques de sécurité à l’époque a également joué en faveur du virus.

Et aujourd’hui ?
Force est de constater que 15 ans après, la messagerie reste le principal vecteur d’attaque. Ainsi 90 % des attaques (Etude Human Factor de Proofpoint) exploitent ce canal et le comportement des utilisateurs reste le maillon faible de la sécurité. Comme le confirme le DBIR 2015 de Verizon, 23 % des utilisateurs continuent d’ouvrir les mails de phishing, un chiffre en hausse par rapport à l’année précédente… Donc en résumé, peu de choses ont changé.

Heureusement d’un point de vue technique, de nouvelles solutions ont fait leur apparition, que ce soit au niveau de l’infrastructure, du poste, ou plus particulièrement de la messagerie. C’est aussi pour cette raison que les attaquants ont modifié leur technique d’approche. Le social engineering reste l’une des stratégies les plus exploitées pour lancer des attaques qui sont désormais ciblées (sur une catégorie d’employés, exploitant une actualité, etc.). L’actualité récente, et les attaques de médias comme celle du Monde ou de TV5 Monde, ont d’ailleurs montré toute leur efficacité en matière de menace ciblée.

Les techniques d’attaque en elles-mêmes ont donc peu évolué et elles exploitent toujours le comportement des utilisateurs. Seuls les objectifs ont changé : de la simple gloire recherchée par les attaquants, nous sommes passés à des attaques ciblées, dont les finalités sont précises : espionnage industriel ou commercial, impact sur l’activité ou les finances, hacktivisme (transmission de messages de revendication liés à une cause), nuisance sur l’image de l’entreprise. En parallèle, de nouvelles techniques sont apparues comme par exemple l’utilisation de ransomware, ces logiciels qui chiffrent les données de leurs victimes et qui demandent ensuite une rançon contre la clef de déchiffrement. On peut d’ailleurs souligner que cette tendance est due à l’évolution du fonctionnement des antivirus par rapport à l’époque d’ « I Love You » : en effet, les éditeurs réagissent désormais plus rapidement et de manière mondialisée (en général, un nouveau malware est bloqué en quelques jours, voire quelques heures après les plaintes des premières victimes). En conséquence, pour tout de même en tirer des bénéfices, les organisations criminelles tentent d’extorquer de l’argent directement à chaque victime (et force est de constater qu’en terme de « chiffre d’affaire », tout va pour le mieux pour eux…).

Quinze ans après, il y a donc peu de chance de connaître une attaque d’une envergure et d’un impact aussi importants que le ver « I Love You » mais il reste encore beaucoup à faire pour éduquer les utilisateurs et les sensibiliser aux nouvelles menaces et formes d’attaques employées par les cybercriminels. (Par Christophe Kiciak, Responsable de l’offre Audit technique et test d’intrusion de Provadys.)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, loi, Mise à jour, Piratage, Propriété Industrielle, ransomware, Sauvegarde

Secteur médical : la prochaine cible des cybercriminels ?

Le système d’informations de santé, qui regroupe les dossiers électroniques des patients jusqu’aux dispositifs médicaux, est plus vulnérable qu’on ne l’imagine. Et les enjeux sont bien trop importants pour fermer les yeux sur cette problématique épineuse.

Aujourd’hui, sur le marché noir, les données de patients se monnayent jusqu’à 20 fois plus cher que les données de cartes de paiement récupérées, par exemple, à l’issue d’un piratage visant un acteur de la grande distribution. Les données médicales sont en effet détaillées, riches et regorgent d’informations que recherchent les cybercriminels pour perpétrer leurs détournements d’identité et autres fraudes. De plus, les patients prennent bien plus de temps à se rendre compte du détournement de leurs informations de santé, jusqu’à près d’un an pour certains patients. En effet, pour identifier
une utilisation frauduleuse des cartes de paiement, les banques disposent d’algorithmes qui repèrent rapidement les activités suspectes et prennent souvent automatiquement les mesures de sécurité qui s’imposent. Ces mesures de sécurité n’existent pas dans le domaine médical. Les acteurs de santé, eux-mêmes, ne se rendent pas toujours compte de la vulnérabilité des nombreux systèmes qu’ils utilisent face aux cyber-attaques:

Cyber-attaques traditionnelles
Ces attaques, qui s’en prennent à tous les profils d’organisations, sont véhiculées par des logiciels malveillants, phishing, chevaux de Troie ou encore des ransomware. Par rapport aux autres secteurs d’activité, celui de la santé est particulièrement vulnérable en l’absence de mesures de protection
intégrées et compte tenu d’une priorité moindre accordée à la sécurité. Ces logiciels malveillants, qu’ils soient déployés via des attaques ciblées, des sites Web piratés ou des dispositifs mobiles infectés, entraînent une divulgation de données confidentielles et aboutissent à des coûts importants et à
des tâches de restauration post-incident particulièrement chronophages. Ces attaques ne sont pas vraiment nouvelles, mais elles gagnent en sophistication et la perte de données de patients est une vraie problématique. Les cybercriminels ont d’ailleurs conçu des plateformes entières de logiciels malveillants qui peuvent être personnalisées pour attaquer les acteurs de santé.

Dispositifs médicaux connectés
Aujourd’hui, des moniteurs cardiaques aux pompes à perfusion, tous les équipements peuvent être connectés à un réseau et s’interfacer avec les dossiers électroniques de patient, permettant ainsi d’activer des alertes en temps réel à l’intention du personnel soignant. Cette interactivité est, dans la
perspective du patient, une bonne nouvelle. Mais au niveau sécurité, il s’agit plutôt d’un cauchemar.

La majorité de ces équipements, et notamment les IRM, les scanners et autres équipements de diagnostic n’ont pas été conçus en faisant de la sécurité une priorité. Ils sont nombreux à utiliser des systèmes d’exploitation comme Microsoft Windows et des logiciels conçus pour collecter les données… Et pas forcément les garder en sécurité. Le piratage de ces appareils est donc possible et une fois compromis, les cybercriminels peuvent accéder directement aux systèmes de données cliniques avec lesquels ces équipements sont interfacés.

Les données de patients ne constituent pas les seules ressources pouvant être piratées via des dispositifs connectés. Les cyber-terroristes pourraient potentiellement manipuler les machines et porter atteinte aux patients. D’ailleurs, dès 2011, un chercheur en sécurité a su démontrer qu’une pompe à insuline pouvait être piratée et utilisée pour injecter une dose mortelle d’insuline[1].

Les équipements de santé personnels et résidentiels
Les dispositifs de santé prolifèrent bien au-delà des murs des hôpitaux. Les équipements de santé personnels, les applications de santé et autres coachs de fitness sont de plus en plus nombreux à recueillir et à transmettre des données. Ces systèmes peuvent potentiellement mettre les données de patients en péril (ou du moins ne pas assurer leur parfaite protection), et ils s’interfacent aussi souvent avec des dossiers électroniques de patients ou des systèmes hébergeant des données cliniques. Si un dispositif de contrôle du taux de glucose ou une application de santé sur iPhone peuvent être la cible
d’attaques, ces vulnérabilités s’appliquent également aux institutions de soins de santé. Les dispositifs cliniques ont, en effet, pour priorité d’offrir de nouvelles modalités pour une prise en charge pratique, innovante et performante des patients. La sécurité, elle, est moins prioritaire.

La sécurité des soins de santé ne doit pas attendre que les piratages de données de patients aient réussi pour devenir prioritaire. Il faut s’en préoccuper dès aujourd’hui. Le secteur de soins de santé, dans sa globalité, doit engager des actions proactives et privilégier les équipements qui
intègrent la sécurité en natif, mais aussi déployer une protection active au niveau du réseau et des applications. Les enjeux sont tout simplement trop critiques pour s’offrir le luxe d’attendre.  (Par Christophe Auberger, Responsable Technique France, Fortinet)

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Justice, Particuliers, Sauvegarde, Téléphonie, Vie privée

Les Députés américains votent la fin de la collecte en vrac de la NSA

Un commentaire

La NSA collecte, à la tonne, les données téléphoniques. Mission officielle, traquer les terroristes. 338 députés, sur 88, ont décidé que cet espionnage devait être mieux contrôlé.

Alors qu’en France les députés ont décidé de permettre la collecte de données « en vrac » de personnes considérées comme dangereuses par les services de renseignements, aux USA, le Capitole a confirmé par le vote positif de 338 députés (pour 88 contre, NDR) que la même collecte, réalisée par la Nationale Security Agency (NSA) devait être contrôlée.

La Chambre a voté ce 13 mai le projet de loi baptisée USA Freedom Act. Bilan, elle aura pour effet, si le Sénat vote dans le même sens, de faire fermer de nombreux programmes d’espionnage de la NSA. Un espionnage visant les ressortissants américains, sur le sol de l’Oncle Sam. Ce projet de loi, adopté massivement par les députés, mettra peut-être fin à la collecte en vrac des appels téléphoniques à partir d’un fournisseur de télécommunication américain.

Un programme d’espionnage dénoncé en 2006 par USA Today, et qui reviendra sur le devant de la scéne en 2013, via les dossiers de la NSA volés par Edward Snowden, ancien analyste privé des grandes oreilles américaines.

Ce projet de loi prévoit que la NSA devra passer par la Foreign Intelligence Surveillance Court avant de demander une écoute. Ce projet exige de l’agence l’utilisation de mots spécifiques lors de ces
recherches. Des mots qui doivent affiner son accès aux seuls dossiers pertinents. Il faut attendre, maintenant, le vote du Sénat pour entériner ce projet de loi. L’Electronic Frontier Foundation (EFF) se félicite de cette nouvelle avancé, même si l’EFF doute du vote final. La semaine dernière, une cour
d’appel fédérale avait statué que cette collecte massive de données téléphonique était totalement illicite. Une collecte qui n’avait jamais été autorisée par l’article 215 du Patriot Act (Fight 215).

Arnaque, Cybersécurité, Entreprise, escroquerie, ID, Identité numérique, Justice, Particuliers, Propriété Industrielle, Social engineering, Vie privée

Il vendait une méthode pour contrer les détecteurs de mensonge

Un ancien agent fédéral américain, fondateur du site Polygraph.com, se retrouve devant la justice pour avoir commercialisé des méthodes pour contrer les détecteurs de mensonge.

Douglas Williams, un ancien agent fédéral américain de 69 ans a plaidé coupable après avoir été accusé d’aider de potentiels demandeurs d’emplois à tricher lors de leur « interrogatoire » dans la fonction publique de l’Oncle Sam.

Il faut savoir que pour viser un poste de fonctionnaire, d’autant plus quand ce poste touche à la sécurité du pays, une obligation est faite de passer au polygraph, le détecteur de mensonges. Le DRH local cherche à savoir si le candidat a consommé de la drogue, a eu des problèmes avec la justice, … Le polygraphe permet aussi aux prisonniers de demander une libération conditionnelle.

Williams a avoué être le fondateur du site Polygraph.com. Un espace qui lui permettait de commercialiser des formations qui avaient pour mission de piéger le polygraphe et les questions attenantes.

Argent, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Paiement en ligne, Particuliers, Piratage, Sauvegarde, Vie privée

Infiltration dans la boutique SallyBeauty.com

La boutique de vente en ligne de produits de beauté SallyBeauty confirme le piratage de données bancaires appartenant à certains de ses clients.

L’entreprise américaine SallyBeauty, basée au Texas, vient d’alerter la rédaction de DataSecurityBreach.fr, et ses clients, d’une probable attaque informatique à l’encontre de ses serveurs. Ce spécialiste des produits de beautés semble avoir des clientes françaises dans ses bases de données.

Une enquête en cours, visant à savoir si un pirate informatique a mis la main sur des donnés privées et sensibles de clients, oblige l’entreprise à diffuser un courriel d’alerte. « Nous pensons qu’il est dans l’intérêt de nos clients de vous avertir que nous avons maintenant suffisamment de preuves pour confirmer qu’une intrusion illégale dans nos systèmes de cartes de paiement a effectivement eu lieu« .

Pour le moment, aucun chiffre n’est donné. L’enquête et les analyses sont toujours en cours. « Nous encourageons nos clients à surveiller leurs relevés de carte de paiement et de signaler toute transaction suspecte à leurs institutions financières« . Un courriel dédié à cette intrusion a été mis en place customerserviceinquiry@sallybeauty.com.

Android, Apple, Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, ios, iOS, Logiciels, Microsoft, Particuliers, RFID, Sécurité, Smartphone, Téléphonie, Windows phone

Coesys mGov : les services gouvernementaux à l’aide d’un téléphone portable

Gemalto lance une solution sécurisée basée sur la carte d’identité électronique et le téléphone NFC pour accélérer l’adoption de l’eGovernment.

Gemalto, spécialiste de la sécurité numérique, annonce le lancement de Coesys mGov, une solution d’authentification mobile pour accéder aux services gouvernementaux en ligne à l’aide d’une carte nationale d’identité sans contact et un téléphone NFC. Cette technologie permet la mise en place de programmes nationaux d’identité sécurisée. Coesys mGov est simple d’utilisation et très pratique pour les citoyens, puisqu’elle permet d’accéder à tous les services grâce à un système d’authentification unique (« Single Sign On »).

Avec Coesys mGov, les citoyens utilisent leur téléphone comme moyen d’authentification et de signature dans un environnement de confiance, pour accéder à un large éventail de services gouvernementaux en ligne. Ces services englobent la santé et le social, la famille, l’emploi et les retraites ou encore l’assurance-maladie. Coesys mGov englobe également les applications associées au permis de conduire, les services municipaux et la citoyenneté, et même le vote en ligne sécurisé et confidentiel.

Coesys mGov aide les gouvernements et les autorités publiques à déployer leurs programmes numériques mobiles en complément de leurs projets d’identité. Les autorités peuvent ainsi répondre aux besoins de sociétés connectées d’aujourd’hui et accroître considérablement l’utilisation des services gouvernementaux en ligne. En outre, le système est suffisamment souple pour renforcer une stratégie d’identification et de sécurité numérique déjà en place. Par exemple, le niveau d’authentification peut être adapté à la nature des services en ligne offerts.

Pour simplifier davantage la vie des utilisateurs, lorsqu’elle est utilisée avec LinqUs Mobile ID de Gemalto, Coesys mGov permet de créer une identité dérivée sécurisée dans la carte SIM ou dans tout autre élément sécurisé du téléphone mobile, ou bien dans le cloud.

« La convergence des appareils mobiles compatibles NFC et l’explosion du nombre de nouveaux programmes nationaux d’identité ouvrent la voie à une nouvelle ère de services innovants axés sur les besoins du citoyen », commente à DataSecurityBreach.fr Frédéric Trojani, vice-président exécutif des Programmes gouvernementaux de Gemalto. « Cette solution extrêmement pratique associe la sécurité et la fiabilité des cartes nationales d’identité électroniques et la simplicité d’utilisation du téléphone portable – une combinaison idéale pour une adoption rapide par tous les citoyens ».

Cybersécurité, Emploi, Entreprise, spam

Quel pays doit éliminer le plus de zombies ?

Comme chaque trimestre, Sophos mesure le volume de spam envoyé dans le monde et publie le résultat des douze pays ayant émis le plus de spam.

Ce trimestre est marqué par le retour des Etats-Unis à la première place du classement, après avoir brièvement laissé sa place à la Chine. Cette dernière, responsable d’un vingtième du spam mondial envoyé, est revenue à la sixième place. Malheureusement, le Vietnam continue son ascension et arrive à la deuxième place. Mais la plus grande inquiétude porte vers la Moldavie. Celle-ci est devenue soudainement la nation la plus « zombifiée » de la planète. Son taux de « zombification » est deux fois plus élevé que celui de la Bulgarie, un spammeur connu et reconnu, qui finit pour la troisième fois dans le top 3. La France n’apparaît pas dans ce tableau, car elle n’occupe que la 14eme place avec 2,2% du spam émis au niveau mondial.

Mettons les choses au clair, au cas où un habitant d’un pays faisant partie des douze plus grands émetteurs de spam ne prenne ombrage pour de mauvaises raisons, en aucun cas nous n’expliquons que les émetteurs de spam composant le classement, sont également les pires escrocs. Cela serait évidemment beaucoup plus pratique pour les spécialistes de la sécurité et les personnes chargées d’appliquer les lois que les émetteurs de spam soient également les malfaiteurs. Malheureusement, les choses ne fonctionnent pas comme ça.

Les escrocs ont cessé d’envoyer eux-mêmes du spam, il y a des années de cela. Lorsque tout le spam provient d’un même serveur, il est ainsi beaucoup plus facile de bloquer l’expéditeur, mais surtout de le repérer. Au lieu de ça, les malfaiteurs piégent des milliers d’ordinateurs dans le monde. A partir du moment où ils peuvent commander votre ordinateur à distance, ils lui ordonnent d’envoyer du spam à leur place. (ou des attaques DDoS, backdoor, NDR). C’est vous qui payez tout. Ils utilisent la mémoire de votre ordinateur (de votre smartphone, tablette, …) la bande passante pour Internet et parce que c’est votre adresse IP qui est recueillie dans les spamtraps, c’est votre réputation qui est mise à mal. Ainsi, si votre pays se retrouve dans le classement des douze plus grands émetteurs de spam, ce n’est peut-être pas vous le malfaiteur.

Les Etats-unis sont toujours en tête. Le Vietnam s’invite dans le top 10 des spammeurs.

Ceci étant dit, vous leur facilitez la vie, sans vous en rendre compte. Il existe également les pays émetteurs de spam par habitant, où la contribution de chaque pays est divisée par son nombre approximatif d’habitants. Ainsi, les résultats deviennent plus justes pour les USA ou la Chine. De la même façon les pays plus petits mais envoyant un nombre important de spams sont complètement démasqués.

Top 10

Les pays du classement en fonction du nombre de spams sont presque toujours les mêmes depuis 2014. Au dernier trimestre de 2014, Taiwan occupait la dernière place mais est finalement sorti du classement (elle est maintenant 18ème). L’Italie fait son entrée dans le classement à la neuvième position (elle était 15ème au dernier classement). Les onze autres ne font que changer légèrement de place. Il est intéressant de constater que la Chine a atteint pour la première fois, la première place au trimestre précédent. Serait-ce dû à une défaillance temporaire du Grand Pare-Feu qui a alors laissé passer plus de spam que d’habitude ? Etait-ce un indicateur ? La pénétration d’internet et la connectivité chinoise a-t-elle enfin surpassé celle des Etats-Unis ? Nous n’en saurons rien.

La Chine revient dans le classement, en 6ème position.

La Chine est revenue à la sixième place ce mois-ci et est responsable d’un vingtième du spam mondial envoyé. La première place revient aux Etats-Unis. Les résidents chinois ont-ils initié une mission recherche et destruction de zombies ? Le pare-feu chinois a-t-il été renforcé pour mieux contrôler le spam ? Nous n’en saurons rien. Malheureusement, le Vietnam continue son ascension et arrive à la deuxième place. C’est un pays densément peuplé dont l’économie est en plein essor, mais sa population est à peu près équivalente à celle de l’Allemagne qui est en douzième position mais qui émet 40% de spam.

BYOD, Chiffrement, Cloud, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Logiciels, Microsoft, Particuliers, Patch, Piratage, ransomware, Social engineering, Vie privée

Virus Rombertik : rien de nouveau chez le malveillant

Un commentaire

Suite à la découverte du malware Rombertik par les équipes de Cisco, il s’avère que le microbe n’a rien de bien nouveau. Il additionne les attaques.

Il n’y a rien de neuf dans ce que fait le malware Rombertik, donc ce n’est pas vraiment une « nouvelle génération » en tant que telle. Il s’agit surtout d’une compilation de plusieurs attaques simultanées « Le premier objectif du malware est de voler les données confidentielles utilisées dans le navigateur Internet. explique Christophe Kiciak, de chez Provadys. Dans le cas où il n’y arrive pas, il passe a son second objectif qui consiste à rendre le poste inutilisable« . Un petit souvenir du virus Leonard de Vinci ?

Rombertik est un spyware de navigateur polyvalent ; c’est également un malware conçu pour pirater les transactions du navigateur et lire des informations d’identification telles que les combinaisons noms d’utilisateurs/mots de passe de messagerie, de comptes bancaire ou d’autres systèmes, et de renvoyer ces informations d’identification au serveur des attaquants. Rombertik sabote le Master Boot Record (MBR) pour empêcher le redémarrage de l’ordinateur attaqué, ou à défaut, chiffre les données de l’utilisateur. Un blocage qui a le goût d’un ransomware, mais sans la rançon. Les données ne sont pas récupérables du tout.

Etant donné que Rombertik est très sensible à la traditionnelle sandboxing réactive, il est crucial d’utiliser des systèmes de défense modernes – prédictifs. Des systèmes qui n’attendent pas qu’un utilisateur clique pour déclencher un téléchargement potentiel de Rombertik. De plus, comme le malware peut être expédié via de multiples vecteurs – comme Dyre, via des URL ou des fichiers .doc ou .zip/exe etc. – il est crucial d’utiliser des systèmes qui examinent l’ensemble chaîne destructrice, et bloquent l’accès des utilisateurs aux URL et pièces jointes envoyées par emails avant ceux-ci ne cliquent dessus.

« Les aspects « autodestruction » de Rombertik étant susceptibles d’être déclenchés par les technologies telles que les antivirus, il est crucial que les entreprises utilisent des systèmes automatisés de réponse aux menaces » confirme à DataSecurityBreach.fr Charles Rami, responsable technique Proofpoint.

Des systèmes qui peuvent localiser et bloquer l’exfiltration de données par Rombertik – sans – déclencher d’action sur le PC, et alerter les équipes de sécurité pour répondre rapidement aux dommages pouvant être causés.

Bref, pour se protéger de Rombertik, ici aussi rien de nouveau sous les palmiers : ne pas cliquer sur n’importe quoi ; mettre l’ensemble de ses logiciels à jour ; ne pas utiliser l’ordinateur avec un compte administrateur. Cela vous évitera de donner l’ensemble de vos privilèges au pirate ; faire des sauvegardes et s’assurer qu’elles fonctionnent.

Argent, Chiffrement, Contrefaçon, cryptage, Cybersécurité, Entreprise, ID, Identité numérique, Paiement en ligne, Particuliers, Propriété Industrielle, RFID

Bracelet NFC pour se payer un match de rugby

Les bracelets de paiement sans contact de Gemalto permettent aux supporters de Saracens d’acheter rapidement et en toute sécurité.

Gemalto fournit à Saracens, l’un des clubs de rugby les plus en vue du Royaume-Uni, des bracelets prépayés offrant aux fans un mode de paiement sans contact, rapide et sécurisé, de leurs achats de nourriture et de boissons au stade Allianz Park, au nord de Londres. Ce projet pilote constitue la première étape de l’élargissement du service, un peu plus tard cette année, à l’ensemble des détenteurs d’un abonnement saisonnier. Il promet aux supporters une sortie encore plus agréable les jours de match, de leur éviter de faire la queue au moment d’acheter des rafraîchissements et la fin de l’écumage des fonds de poches à la recherche de monnaie. Les nouveaux bracelets intelligents  facilitent aussi l’accès au réseau de transport en commun londonien, par un simple effleurement du poignet, et peuvent être utilisés avec tous les terminaux de paiement affichant le logo de paiement sans contact.

Les bracelets ont été fournis à un nombre restreint de supporters avant le match à domicile des Saracens le 11 avril dernier et dotés d’un crédit de 5 GBP. Ils peuvent être alimentés rapidement et facilement en ligne, en établissant simplement un lien entre le bracelet et une carte de débit ou de crédit existante, et utilisés pendant les matches restant à jouer cette saison.

Gemalto soutient la nouvelle initiative de l’Allianz Park avec sa Plate-forme Allynis Smart Event conçue pour les stades à paiement dématérialisé. Le service offert par la Plate-forme Allynis Smart Event inclut non seulement la production des bracelets, mais aussi les services de conditionnement, d’exécution et à valeur ajoutée tels que des applications mobiles intégrées, des campagnes de marketing mobile et sur les médias sociaux.

« En fournissant à nos supporters la commodité et la sécurité que confère un paiement par un simple effleurement du poignet, nous démontrons une fois encore notre détermination à leur offrir la meilleure expérience de journée de match possible », déclare à DataSecurityBreach.fr Stefan Crouse, Directeur d’exploitation de Saracens.

L’objectif du club est un déploiement généralisé des bracelets sans contact pour le début de la saison 2015-16.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, VPN

Hippon, solution française dédiée au chiffrement

La société Hippon propose une solution 100% française. Innovante, elle permet de se créer son réseau confiance pour ses échanges confidentiels.

Voilà une nouvelle solution à suivre de près. Son nom, Hippon. Cette solution de chiffrement et bien plus que cela. Hippon propose un réseau fermé dans lequel vous allez pouvoir échanger des tchats avec vos correspondants en ligne; diffuser des messages à un ou plusieurs destinataires; permettre la diffusion de pièces jointes. L’ensemble des échanges sont chiffrés. Cela permet ainsi de renforcer la confiance et la collaboration avec vos partenaires en vous prémunissant contre le vol ou l’interception de vos échanges sensibles. Un outil collaboratif qui permet de travailler dans une réelle fluidité. Le nombre des intervenants importe peu. L’utilisateur peut déployer son réseau de confiance et se prémunir contre le vol ou l’interception de ses échanges confidentiels.

Il suffit d’intégrer les personnes habilités à rejoindre le groupe. Un clic et la personne à révoquer ne peut plus joindre les informations et les interlocuteurs. Autant les utilisateurs commencent à faire (plus ou moins) attention à leurs données personnelles, autant ils considèrent que c’est à l’entreprise de le faire sans pour autant accepter de changer leurs habitudes. Hippon semble répondre à cette problématique. Une version test de 14 jours est disponible. En mode de test, Hippon est compatible uniquement dans les environnements de Microsoft.

Le système fonctionne parfaitement sur OSX sous virtualisation parallèle et est accessible en mode streaming vidéo depuis les tablettes IOS ou Android. A noter que comme l’exige la loi, les services SaaS proposés par la société Hippon étant fondés sur des clés composites de cryptage et compte tenu des contraintes inhérentes à la sécurité, conformément aux lois en vigueur en matière de moyens et de prestations de cryptologie, le Licencié (le client utilisateur, ndr) est informé que les autorités peuvent demander que les informations du Licencié hébergées par la société Hippon soient décryptées.

backdoor, Chiffrement, cryptage, Cybersécurité, Linux, Livres

4ème édition du livre Ethical Hacking

Ce livre sur la sécurité informatique est devenu une véritable référence. Écrit par des universitaires Français, « Sécurité informatique – Ethical Hacking » vient de sortir sa 4ème édition.

Ce gros pavé s’adresse à tout informaticien sensibilisé au concept de la sécurité informatique mais novice ou débutant dans le domaine de la sécurité des systèmes d’informations. Il a pour objectif d’initier le lecteur aux techniques des attaquants pour lui apprendre comment se défendre.

Cette nouvelle édition tient compte de l’actualité en matière de sécurité informatique et voit l’apparition de trois nouveaux chapitres qui traitent : des investigations Forensic, principalement utilisées dans la recherche de preuves numériques, des attaques plus orientées vers le matériel (comme les cartes à puce et autre) et des Box, omniprésentes dans nos maisons, en mettant en lumière que celles-ci ne sont pas infaillibles et qu’il faut bien savoir les configurer pour éviter les ennuis.

La 4ème édition de ce livre référence vient d’être publiée.

Les auteurs de ce livre (Marion AGÉ – Nicolas CROCFER – Robert CROCFER – David DUMAS – Franck EBEL – Guillaume FORTUNATO – Jérôme HENNECART – Sébastien LASSON – Raphaël RAULT – Laurent SCHALKWIJK) composent une équipe de personnes de conviction qui se donnent pour mission de rendre la sécurité informatique accessible à tous : « apprendre l’attaque pour mieux se défendre« . Sécurité informatique – Ethical Hacking – Edition ENI – 54€.

Argent, Arnaque, Banque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Paiement en ligne, Particuliers, Phishing, Piratage, Propriété Industrielle, Scam, Social engineering

La fraude à la carte bancaire représente 544 millions d’euros de perte en France

Un commentaire

D’après Check Point Software Technologies Ltd, spécialiste de solutions en sécurité informatique, les Européens perdent chaque année plus de 1,7 milliards d’euros dû aux vols des données présentent sur les cartes bancaires. La France, avec 544 millions de perte en 2013 se positionne au 3ème rang derrière le Royaume-Uni et les Etats-Unis (Le Royaume-Uni et la France représentent 62% de la fraude à la carte bancaire en Europe).

La situation la plus critique en matière de sécurité bancaire est aux États-Unis. Chaque année, l’économie américaine perd environ 5 milliards de dollars. L’année dernière, une seule attaque menée contre Home Depot a permis de compromettre 56 millions de cartes bancaires, un nombre record. L’année précédente, en 2013, des pirates ont compromis plus de 40 millions de cartes bancaires en dérobant des données bancaires à la chaîne de supermarchés Target.

Les consommateurs anglais et français sont parmi les plus vulnérables. En 2013, ces deux pays ont perdu respectivement 674 millions et 544 millions d’euros. Additionnées ensemble, ces pertes représentent plus de 62% de la fraude à la carte bancaire en Europe. Cependant, la France enregistre une des plus faibles progressions du taux de vol parmi tous les pays d’Europe. D’importantes pertes ont également été relevées en Allemagne (147 millions d’euros) et en Espagne (116 millions d’euros), mais ces chiffres sont en baisse depuis quelques années. La Russie se détache du lot avec des pertes en 2013 (131 millions d’euros) qui représentaient une augmentation de 28% par rapport à l’année précédente.

Les terminaux de paiement sont menacés

La menace la plus importante pour la sécurité des cartes bancaires réside dans les attaques menées contre les terminaux de paiement. En exploitant des vulnérabilités logicielles et en utilisant des logiciels malveillants, les pirates sont en mesure d’utiliser des accès à distance pour dérober des données lues par les terminaux durant les transactions. Ce type d’attaque a été utilisé contre les réseaux de Home Depot et de Target aux États-Unis. Il convient de noter que les clients aux États-Unis sont particulièrement vulnérables à ces menaces en raison des systèmes de paiement obsolètes qui y sont utilisés. Selon des études récentes, près d’un tiers des attaques de logiciels malveillants menées contre des terminaux de paiement dans le monde se sont déroulées aux États-Unis !

Les experts soulignent également que les systèmes de sécurité des cartes bancaires à puce sont d’une importance secondaire contre les attaques de logiciels malveillants. Les pirates peuvent utiliser partout dans le monde les numéros de cartes bancaires dérobés aux États-Unis. Les cartes bancaires européennes, bien qu’équipées de technologies de sécurité plus avancées (puces et codes PIN), sont facilement utilisées aux États-Unis où la protection est uniquement limitée à la bande magnétique des cartes.

Les Européens sont de plus en plus préoccupés par les vols de cartes bancaires, d’autant plus depuis que les prix des cartes bancaires dérobées ne cessent d’augmenter chaque année sur le marché noir. Les experts de Check Point estiment le prix d’une carte Visa ou MasterCard dérobée aux États-Unis est d’environ 4 dollars, tandis que les données d’une carte bancaire européenne peuvent valoir jusqu’à cinq fois plus, soit 20 dollars !

Argent, Arnaque, Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, loi, Mise à jour, Particuliers, Piratage, Propriété Industrielle, Sauvegarde, Vie privée

Sécurité numérique et risques : enjeux et chances pour les entreprises

À l’heure de l’omniprésence du numérique et du développement constant de ses spectaculaires potentialités, les entreprises doivent pouvoir compter sur des outils numériques sécurisés. Or, chaque jour, de tous côtés, les exemples de nouvelles vulnérabilités se multiplient.

L’escalade entre les failles découvertes et les parades pour y remédier semble sans fin, d’autant plus que l’origine de ces fragilités réside dans nombre de comportements humains irréfléchis et dans la lenteur de l’indispensable prise de conscience.

Après avoir entendu plus d’une centaine de personnes et analysé en détail les atouts et les fragilités des messages numériques et de leurs canaux de diffusion, l’Office parlementaire d’évaluation des choix scientifiques et technologiques propose d’abord une trentaine de recommandations d’ordre général (culture du numérique, souveraineté, coopération entre les acteurs, droit européen de la donnée) puis un vade-mecum de sécurité numérique à l’usage des entreprises qui voudront bien s’attacher à la construction réfléchie et évolutive dont dépend leur future prospérité.

Face à la mondialisation numérique, l’élaboration de solutions se révèle être d’abord individuelle et nationale pour éviter que les entreprises françaises acquiescent elles-mêmes au pillage de leurs données en les offrant en libre-service.

Mme Anne-Yvonne Le Dain, députée, et M. Bruno Sido, sénateur, ont présenté l’étude de l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST) sur « Sécurité numérique et risques : enjeux et chances pour les entreprises ».

Le rapport (tomes I et II) est désormais en ligne sur les sites de l’Assemblée nationale et du Sénat au pages de l’OPECST.
– Tome I (rapport) : http://www.senat.fr/notice-rapport/2014/r14-271-1-notice.html
– Tome II (auditions) : http://www.senat.fr/notice-rapport/2014/r14-271-2-notice.html

BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Piratage

Augmentation des attaques par réflexion basées sur le protocole SSDP

Le rapport de NSFOCUS sur les menaces causées par les dénis de service distribué (DDoS) dévoile que les dispositifs connectés à l’Internet des objets contribuent à l’augmentation des attaques par réflexion basées sur le protocole SSDP.

NSFOCUS a publié son rapport semestriel sur les menaces causées par les DDoS qui dévoile les résultats sur les nouvelles attaques et les menaces croissantes dont les organisations devraient avoir conscience en 2015. Tandis que le volume des attaques par déni de service distribué continue à augmenter, l’expansion de l’Internet des objets (IdO) et l’arrivée massive de dispositifs connectés au réseau, tels que des webcams ou des routeurs, entraînent une plus grande intensité des attaques basées sur le protocole Simple Service Discovery Protocol (SSDP).

Les résultats des analyses statistiques et des principales observations sont fondés sur des données de véritables incidents causés par des attaques DDoS ayant eu lieu au deuxième semestre 2014. Ces données ont été recueillies auprès d’un ensemble de multinationales, de prestataires de services Internet, d’opérateurs régionaux de téléphonie et de fournisseurs d’hébergement Internet.

—  L’augmentation des dispositifs connectés à l’IdO est responsable de
la hausse des attaques par réflexion basées sur le SSDP : avec la
prolifération de l’Internet des objets, tout dispositif connecté au
réseau avec une adresse IP publique et un système d’exploitation
vulnérable va augmenter le nombre de dispositifs susceptibles d’être
utilisés pour lancer des attaques par réflexion basées sur le SSDP.
Ce type particulier d’attaque DDoS a été considéré comme la
deuxième menace principale, après les attaques basées sur le
protocole NTP, au cours du deuxième semestre 2014. Plus de 30 pour cent
des dispositifs mis en danger par des attaques SSDP étaient des
dispositifs connectés au réseau tels que des routeurs domestiques et
des webcams. Les résultats révèlent également qu’à l’échelle
mondiale, plus de 7 millions de dispositifs contrôlés par le protocole
SSDP pourraient potentiellement être utilisés.

—  Les attaquants sont de plus en plus rusés : alors que 90 pour cent des
attaques DDoS ont duré moins de 30 minutes, une attaque a duré 70
heures. Cette stratégie d’attaques plus courtes est utilisée pour
améliorer l’efficacité et détourner l’attention du personnel
informatique des véritables intentions d’une attaque : déployer des
logiciels malveillants et voler des données. Ces techniques indiquent
la tendance actuelle des attaquants à être de plus en plus rusés et
sophistiqués.

—  Les détaillants, médias et jeux en ligne restent les cibles
principales : alors que les détaillants et les sociétés de
divertissements et de jeux utilisent de plus en plus d’environnements en
ligne, les consommateurs demandent une qualité de service du plus haut
niveau. En ralentissant ou en inondant ces serveurs, les attaquants
cherchent à tirer parti des activités en ligne par toute une gamme de
moyens qui englobe le chantage, la concurrence déloyale et le vol
d’actifs.

Yonggang Han, directeur des opérations internationales de NSFOCUS, a déclaré à DataSecurityBreach.fr « Nous observons l’évolution des technologies d’attaque qui deviennent ni plus ni moins que des tactiques de ‘harcèlement’ (attaques par inondation) et de ‘profit tiré’ (épuisement des ressources) renforçant l’impact via l’utilisation de la bande passante du réseau. Pour contrer ces attaques, les organisations doivent se tourner vers des dispositifs qui nettoient le trafic et sont associés à d’autres protocoles de sécurité. »

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Mise à jour, Patch, Piratage, Wordpress, Wordpress

Possibilité de piratage via WordPress 4.2

Voilà une attaque informatique possible qui tombe en pleine période de vacances et autres ponts de ce début mai. Une faille permet de jouer de bien mauvaise façon avec les sites sous WordPress 4.2.

WordPress vient de combler une nouvelle faille. Cette dernière touche la nouvelle monture de ce CMS en version 4.2. Bilan, il est plus que conseillé de mettre à jour votre outil web (Laissez WP se mettre à jour automatiquement, NDR). Cette fois, l’exploit permettait de modifier le mot de passe de l’administrateur du site. Autant dire que cela fait désordre. La faille permettait aussi de créer des comptes avec les droits administrateur, de modifier ensuite les contenus du site. Vérifiez bien, d’ailleurs, qu’aucun pirate ne se soit amusé à installer une application malveillante dans vos pages.

Via un XSS et un bourrage d’informatique à la sauce Buffer Overflow (BoF), il était possible d’exécuter un code malveillant à partir de l’espace commentaire d’un WordPress. Jouko Pynnönen, qui a révélé la chose, indique que la faille touche WordPress 4.2, 4.1.2, 4.1.1, 3.9.3. et MySQL 5.1.53 et 5.5.41.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données

Des passwords du contrôle ferroviaire de la gare de Londres à la TV

Un documentaire de la BBC révèle dans ses images les mots de passe utilisés dans le centre de contrôle ferroviaire de la gare de Londres Waterloo. ZATAZ se demande s’il faut rire des images ou pleurer de la faiblesse des mots de passe ?

Dans le documentaire « Nick and Margaret: The Trouble with Our Trains » de cette fin avril, la BBC propose de visiter les petits secrets des transports ferroviaires du Royaume de sa Gracieuse Majesté. Vers la 43ème minute du reportage, le Centre de contrôle intégré du Wessex. Une zone sensible de la SNCF britannique située au-dessus de la plateforme de la gare de Londres Waterloo. Une « base » ouverte 24 heures sur 24 qui permet de contrôler les trains et les embranchements ferroviaires. ZATAZ.COM montre que des mots de passe sont collés sur les écrans. Au moins 3 sont parfaitement visibles à l’écran ! Des « Password » très faibles ne comportant que des lettres et quelques chiffres. Comme l’indique zataz, les leçons de TV5, de la Coupe du Monde de Football 2014 ; de TF1 et de beaucoup d’autres ne semblent pas encore bien intégrées par les utilisateurs !

Android, Argent, Arnaque, Cyber-attaque, Cybersécurité, escroquerie, Facebook, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Smartphone, Vie privée

Un malware se glisse sur Google Play sous les traits de l’appli Dubsmash

Jan Piskacek, analyste spécialiste des malwares sur mobile chez Avast Software, a récemment découvert une application malveillante sur Google Play appelée « Dubsmash 2 », un « porn clicker » qui circule en arrière-plan des systèmes infectés, favorisant l’ouverture de sites pornographiques et de leurs annonces publicitaires. En outre, l’application lancerait YouTube – s’il est installé sur le mobile de l’utilisateur – et lirait les vidéos.

L’éditeur a averti Google qui a immédiatement supprimé l’application. Toutefois, avant son retrait de Google Play, l’application a pu être téléchargée entre 100 000 et 500 000 fois. Il est donc probable qu’elle soit encore présente sur le système de certains utilisateurs. L’analyste spécialiste des malwares sur mobile, Jan Piskacek, explique à DataSecurityBreach.fr que « De Lena Dunham à Hugh Jackman, toutes les vedettes utilisent Dubsmash, septième application la plus populaire disponible sur Google Play selon le classement actuel et déjà téléchargée plus de 10 millions de fois. Elle permet aux utilisateurs de choisir un son parmi une sélection proposée, d’enregistrer une vidéo d’eux en train de doubler le son choisi et de la partager avec leurs amis via les réseaux sociaux. Cette application, largement adoptée par les adolescents et les célébrités, a également suscité l’intérêt des développeurs de programmes malveillants« .

Une fois l’application « Dubsmash 2 » installée par les utilisateurs persuadés de télécharger la version 2.0 de leur application préférée, aucun indice ne permet de confirmer sa présence sur le terminal. Elle génère en effet à la place une icône intitulée « Réglages IS » très semblable à la véritable icône des réglages sur Android. Il s’agit là d’une ruse courante utilisée par les auteurs de malwares, afin de rendre plus difficile l’accès à l’application à l’origine des problèmes causés. Les activités malveillantes peuvent alors être déclenchées de deux manières différentes : soit via le lancement de « Réglages IS », soit via une interface qui détecte la connectivité du terminal à internet et lance l’application automatiquement si l’utilisateur ne l’a pas fait lui-même.

En s’infiltrant insidieusement, le hacker peut également désactiver le démarrage des services à distance et agir sans que l’utilisateur ne s’aperçoive qu’une action malveillante est en cours sur son terminal. Le pirate peut ainsi télécharger une liste de liens renvoyant vers des sites pornographiques divers à partir d’un lien URL crypté et stocké dans l’application ; ce dernier lance ensuite une vidéo via l’application YouTube installée sur le terminal.

Cette technique aurait permis au pirate de gagner de l’argent via un système de clics sur plusieurs publicités présentes sur les sites pornographiques. Il est probablement passé par un faux système de rémunération au clic contracté avec les annonceurs pensant que leurs publicités étaient diffusées sur de vrais sites. L’application « Dubsmash 2 » est sans danger pour l’utilisateur et moins sophistiquée que les autres familles de malwares tels que Fobus ou Simplocker. Toutefois, elle rappelle que malgré les mesures de protection mises en place par Google pour éviter cela, on trouve encore sur Google Play des applications indésirables qui s’installent insidieusement sur les systèmes, à l’insu des utilisateurs.

Argent, Banque, Cybersécurité, Entreprise, Identité numérique, Paiement en ligne, Particuliers

PayPal étend son service de Protection des Achats

Musique, livres numériques, jeux, et encore bien d’autres produits et services immatériels achetés en ligne via PayPal sont dorénavant couverts par la Protection des Achats !

La sécurité et la confiance des consommateurs sont des priorités pour PayPal. Avec pour volonté première de leur proposer toujours plus d’avantages, PayPal optimise son service de Protection des Achats et entend ainsi renforcer la confiance de ses utilisateurs dans l’achat en ligne. Dès le 1er Juillet 2015, la Protection des Achats PayPal déjà offerte aux utilisateurs pour les biens matériels, sera étendue aux services, contenus numériques tels que la musique, les jeux, les livres, billets de voyages et encore bien d’autres produits immatériels.

PayPal s’engage ainsi à rembourser les consommateurs français s’ils ne reçoivent pas leur commande ou si celle-ci ne correspond pas à la description de l’annonce. Dans un souci d’impartialité entre les acheteurs et les vendeurs, PayPal examinera au cas par cas l’ensemble des réclamations reçues. Conscient que ses utilisateurs ne consomment pas seulement sur des sites locaux, la Protection des Achats PayPal s’applique aussi bien pour les achats effectués en France que sur des sites étrangers… Une raison de plus de faire confiance à l’achat en ligne !

Android, Biométrie, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Particuliers, Patch, Piratage, Smartphone, Téléphonie, Vie privée

Samsung s5 : biométrie piratée !

Des chercheurs de la société FireEye viennent de mettre à jour une faille importante dans la sécurité des Samsung Galaxy S5. Un hacker se connectant au téléphone (même avec le niveau d’accès le plus faible) sera capable d’en extraire les données biométriques, soit une copie de l’empreinte digitale de l’utilisateur.

Cette révélation démontre une nouvelle fois que les systèmes d’identification biométriques grand public peuvent être piratés. En janvier, les hackers Chaos Computer Club avaient réussi à reconstituer l’empreinte digitale du ministre de la défense allemand. Sur le papier, la biométrie est un bon moyen de prévenir l’usurpation d’identité et les fraudes associées. On peut vous voler vos mots de passe mais pas vos empreintes digitales ou votre œil. Soit. Mais on constate bien que l’authentification biométrique est aussi piratable.

Ce qui pose problème, c’est qu’une fois piratées, les données biométriques ne peuvent être modifiées. Vous ne pouvez pas changer votre empreinte digitale ou rétinienne comme un mot de passe, et vous n’avez pas envie que n’importe qui en prenne possession. Une fois que vos empreintes digitales seront dans la nature (sans forcément que vous soyez prévenu), vous serez en risque si votre empreinte digitale est la porte d’entrée vers vos données personnelles ou professionnelles.

On a beau nous annoncer la mort du mot de passe chaque semaine dans la presse technologique, il a encore de beaux jours devant lui !

Ce n’est en réalité pas tout à fait un hasard si le mot de passe s’est imposé depuis des décennies comme un « standard de fait ». Un peu comme le clavier AZERTY que beaucoup ont cherché à remplacer, il a survécu pour l’instant aux nombreuses innovations qui ont cherché à le remplacer. C’est en effet une technologie peu coûteuse, non brevetée, qui peut être utilisée de manière anonyme et qui permet de gérer la grande majorité des connexions sécurisées sur le web. Surtout lorsqu’une faille de sécurité est découverte, vous pouvez changer vos mots de passe pour vous assurer que vos données sont en sécurité. Ca n’est pas le cas avec la biométrie !

Employés correctement, les mots de passe sont sécurisés. Ils doivent être différents pour chaque site et composés de caractères alphanumériques choisis aléatoirement. Il est par ailleurs nécessaires de les changer régulièrement. Si vous respectez ces règles et stockez vos mots de passe sous forme cryptée, vous êtes en sécurité. Le vrai sujet ce sont moins les mots de passe que la manière dont nous les gérons. Le cerveau humain n’en est pas capable et c’est pourquoi il doit être suppléé par un outil comme Dashlane.

Les récents développements dans l’authentification en ligne sont très intéressants, notamment pour améliorer les méthodes d’authentification fortes combinant différents facteurs et utilisées pour des données très sensibles. Le mot de passe est cependant le standard de fait de l’authentification en ligne. Pour être en sécurité sur le web dès aujourd’hui, et non pas demain, la seule solution est de renforcer la sécurité de ses mots de passe. (Guillaume Desnoes, responsable des marchés européens de Dashlane / Forbes)

 

Android, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Hacking, Leak, Mise à jour, Piratage, Rendez-Vous, RFID, Smartphone, Téléphonie

Une puce dans la main pour pirater des smartphones

Nous avions la puce dans le bras pour rentrer en boîte de nuit, voici venir la puce NFC dans la main pour pirater des téléphones portables.

Seth Wahle est un chercheur en sécurité informatique et technologie sans fil qui a de la suite dans les idées. Il vient de se lancer dans un projet qui demande quelques connaissances en couture et charcuterie.

Il s’est implanté une puce NFC sous la peau de sa main afin de tester son système d’interception de données. Dans sa main gauche, entre le pouce et l’index, du matos acheté sur le site chinois AliBaba. Pour 40 dollars, le voilà avec un outil de 888 bytes de mémoire. Dorénavant, sa main n’a qu’à effleurer un téléphone dont le NFC est branché. Un contact qui lance une page web qui exécute le téléchargement d’un programme comme il l’a expliqué au journal Forbes. Il faut cependant que le téléphone ne soit pas trop protégé pour accepter le téléchargement et l’installation de l’outil pirate.

Il présentera son projet à Miami, du 15 au 17 mai prochains, lors d’un hackfest local.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

25 pirates arrêtés dans une opération internationale

Les autorités roumaines ont arrêté vingt-cinq cybercriminels qui s’apprêtaient à s’attaquer aux données bancaires de millions de personnes.

Les pirates présumés agissaient en Roumanie, mais aussi en Belgique, Canada,  Colombie, République dominicaine, Égypte, Estonie, Allemagne, Indonésie, Italie, Lettonie, Malaisie, Mexique, Pakistan, Russie, Espagne, Sri Lanka, Thaïlande, Ukraine, Émirats arabes unis, Royaume-Uni, Etats-Unis. Data Security Breach a appris que la France a été concernée par ce « gang », sans en avoir pour le moment, la confirmation officielle.

Les présumés pirates s’attaquaient aux banques et fabriquaient des clones de cartes bancaires. Ils auraient retiré plus de 15 millions de dollars via des transactions frauduleuses effectués dans 24 pays différents. Si 25 membres de cette équipe ont été arrêtés, il en resterait 27 dans la nature. C’est la Direction des enquêtes sur la criminalité organisée et le terrorisme (DIICOT), le FBI roumain. Pour éviter la détection, les pirates accéléraient le processus en faisant plusieurs petites transactions sur une courte période, généralement le week-end.

En 2013, par exemple, les pirates ont pu retirer 9 millions de dollars via des guichets automatiques situés dans tout l’archipel du Japon. Le 2 décembre 2013, 42000 transactions, via des Distributeurs de billets automatiques, dans 15 villes roumaines différentes, pour un montant de 5 millions de dollars en espèces.

Dimanche 26 avril, les autorités roumaines ont exécuté 42 mandats de perquisition à travers six villes, saisissant des ordinateurs portables, des téléphones mobiles, et 150,000€ en en espèces, des lingots d’or et des peintures. Une opération qui fait suite à l’annonce des services secrets américains à l’encontre de la campagne CyberHeist qui avait permis à des pirates de mettre la main sur 45 millions de dollars en janvier 2013. En mai 2013, 8 pirates (qui semblent liés à gang roumain) se retrouvaient dans les mains de la justice américaine. Ils avaient retiré 2,8 millions de dollars en quelques heures, via des distributeurs de billets de New-York.

Microsoft, Patch

PowerShell : faire tomber la sécurité en 5 secondes

3 commentaires

Lors du White Hat Camp de Marrakech (20 au 26 avril 2015), Jérôme Ridet, chercheur en informatique et membre de l’association ACISSI, a démontré que l’outil PowerShell de Microsoft laissait passer les mots de passe en quelques clics de souris.

La commune de Marrakech (Maroc) reçoit la première édition du White Hat Camp, une semaine de conférences (20 au 26 avril 2015), formations et challenge informatique sur le thème du hacking éthique et de la sécurité informatique. L’occasion pour de nombreux chercheurs et vrais professionnels de la sécurité informatique de venir échanger sur leurs découvertes. Parmi les intervenants, le chercheur français, ingénieur réseau, Jérôme Ridet. Ce jeune nordiste est venu expliquer la faiblesse de PowerShell. Une faiblesse qui pourrait faire penser (ce n’est que l’avis de l’auteur de cet article, Ndr) à une porte cachée (backdoor). Certes facilement exploitable avec un peu de curiosité et la lecture complète du mode d’emploi de PowerShell.

PowerShell est un logiciel Microsoft. Il permet aux administrateurs réseau de gérer leurs systèmes. Un outil indispensable qui automatise les taches informatiques comme les créations d’utilisateurs, les gestions des événements, la mise en place des droits utilisateurs… Jérôme Ridet a découvert comment « bypasser » les droits qui peuvent être proposés par un administrateur. Bilan, le « maître des clés » qu’est l’administrateur se retrouve avec un sérieux problème : en quelques commandes, les n’importe quel mot de passe devient accessible. Ils ont beau être chiffrés, les trois commandes (indiquées dans le mode d’emploi, NDR) couplées permettent de mettre la main sur le précieux sésame. « Quand j’ai découvert le truc, explique cet administrateur réseau au site Internet ZATAZ.COM, je n’étais pas sûr de ce que je voyais. Je me suis dit, ce n’est pas possible.« 

Une découverte étonnante, d’autant plus dangereuses que les commandes peuvent être automatisées. Si vous rajoutez un petit détail dans les commandes, un intrus peut même faire disparaître la moindre trace de son action. Des commandes qui peuvent être cachées dans une macro (Excel, Word, Access, …). ZATAZ.COM explique que pour se protéger de ce genre de malveillance, il faut refuser la moindre macro dans les documents que vous pouvez recevoir. Ne jamais saisir son mot de passe, même si l’environnement semble sécurisé. Pour l’administrateur, il est vivement conseillé de bloquer l’invite de commande comme par exemple en supprimant ou en renommant CMD.

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Social engineering

Spy in the sandbox : espionner un ordinateur en quelques clics

Décidément, espionner les ordinateurs serait un véritable jeu d’enfant. Aujourd’hui, il suffit d’un navigateur compatible HTML5 pour espionner huit ordinateurs sur 10 de par le monde.

Prenez un ordinateur récent, fonctionnant avec un processeur Intel. A cela rajoutez un navigateur Internet compatible html5, une page malveillante et un peu de Javascript et vous voilà la technique du Spy in the sandbox.

Des chercheurs en sécurité de l’université américaine de Cornell (Yossef Oren , Vasileios P. Kemerlis , Simha Sethumadhavan , Angelos D. Keromytis) ont annoncé avoir découvert comment il était (trop, ndr) simple d’espionner huit ordinateurs sur dix de par le Monde. L’ordinateur n’a besoin que d’être motivé par une puce Intel. Une page d’hameçonnage piégée permet d’actionner un ensemble d’actions malveillantes que les chercheurs ont baptisé exploit « micro architectural« .

Un code Javascript dans la page pirate va ensuite collecter les données qui passent (entrantes et sortantes, ndr). La mémoire « tampon » du processeur est trop rapide. Bilan, les informations en caches peuvent être aspirées. Le processeur est rapide, la mémoire vive beaucoup moins. « Se défendre contre cette attaque est possible, mais les contre-mesures nécessaires peuvent exiger un coût loin d’être négligeable » précise les chercheurs dans le document qu’ils ont diffusé.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering

Piratage de données bancaires dans un cinéma

Du matériel d’interception de données de cartes bancaires découvert dans un cinéma de Toulouse. Le skimmeur a pu toucher des centaines de cinéphile.

Le skimming, depuis plusieurs années, fait de gros dégâts dans les rangs des utilisateurs de cartes bancaires. Il est important de rappeler les dangers de ce genre de matériel, un skimmeur permet d’intercepter les informations contenues sur la bande magnétique de votre carte bancaire. Des données qui seront recopiées sur une carte vierge. Pour le mot de passe, une mini caméra, un faux clavier, ou le simple fait que le malveillant regarde les 4 chiffres taper par sa victime suffisent à finir l’attaque. Le pirate possède un clone parfait de votre CB. Il n’a plus qu’à la réutiliser ou revendre le clone sur le marché noir 2.0, le Black Market.

C’est cette attaque qui a été découverte à Toulouse, dans le cinéma Gaumont Wilson. Trois individus ont été interpellés. Trois hommes d’origines roumaines (les skimmers de cette région sont malheureusement très répandus, NDR). D’après les autorités locales (SRPJ), c’est le second cas en France visant un Guichet Automatique de Billets installés dans un cinéma. Prudence, un skimmer peut s’installer sur le lecteur d’une pompe à essence, d’un parking, d’un péage…

Si placer votre main au-dessus du code que vous allez rentrer est une bonne solution, assurez-vous tout de même que rien ne bouge sur le Distributeur Automatique de Billets. Boitier de réception de votre carte ; plaque des mots de passe ; Au moindre doute, ne tapez rien. (La Dépêche)

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Patch, Piratage, Sécurité, Social engineering, Vie privée, VPN

6 Français sur 10 seraient des idiots avec le Wi-Fi public

8 français sur 10 utiliseraient chaque mois le Wi-Fi public tout en craignant d’être la cible de hackers. 66% des français préfèrent se connecter au Wi-Fi public non sécurisé et risquer de perdre leurs données personnelles.

Alors que les pirates informatiques peuvent aujourd’hui très facilement accéder aux données personnelles des utilisateurs du Wi-Fi public, Avast Software, éditeur de solutions de sécurité pour mobiles et PC, dévoile les résultats de son étude menée auprès des utilisateurs de réseaux sans fil en France. D’après cette enquête, la plupart des français ont conscience des dangers liés à l’accès aux réseaux Wi-Fi publics pour leurs données mais il semblerait que les bonnes pratiques ne soient pas toujours appliquées.

En effet, 66% des répondants admettent préférer accéder aux réseaux Wi-Fi publics qui ne requièrent pas de nom d’utilisateur ni de mot de passe pour se connecter et ainsi risquer de mettre leurs données personnelles à la portée du premier hacker venu, voire de se faire voler leur identité. Seuls 4% d’entre eux utilisent un réseau privé virtuel (VPN) pour crypter les données, empêcher les pirates informatiques d’avoir de la visibilité sur leur navigation et donc de protéger leurs appareils mobiles. Pourquoi ces négligences ? L’étude d’Avast révèle notamment que 36% des utilisateurs du Wi-Fi font confiance au fournisseur d’accès à internet quant à la sécurisation du réseau alors que rien ne garantit son engagement en matière de protection.

Les risques associés à une connexion aux réseaux Wi-Fi publics sont pourtant bien réels et les utilisateurs ne peuvent les ignorer. Parmi eux, 28% craignent effectivement de se faire voler leurs identifiants et leurs mots de passe, et 39% redoutent que les hackers ne s’emparent de leurs informations bancaires et financières depuis leurs terminaux mobiles. Toutefois, cela ne les empêchent pas de surfer sur des sites sensibles ou d’effectuer des achats susceptibles de mettre en péril la protection de leurs données personnelles et confidentielles. En effet, 10% des répondants affirment réaliser des activités bancaires lorsqu’ils sont connectés aux réseaux sans fil non sécurisés, 4% font du shopping en ligne et 2% effectuent d’autres types de transactions financières.

Le Wi-Fi permet d’accéder facilement à internet dans les lieux publics, raison pour laquelle 47% des français s’y connectent, mais aussi un moyen efficace d’économiser du forfait internet. Aujourd’hui, 8 français sur 10 utilisent chaque mois les réseaux Wi-Fi publics dont 24% plusieurs fois par semaine. Il est donc primordial qu’ils prennent conscience des menaces qui planent sur leurs informations et surtout des conséquences qu’un vol de données ou une usurpation d’identité peut avoir. Les hackers peuvent très facilement avoir de la visibilité sur les mots de passe, les emails, l’historique de navigation ou encore les données confidentielles si les utilisateurs du réseau Wi-Fi public n’utilisent pas de système de protection. Même s’ils sont peu expérimentés, les pirates informatiques peuvent facilement espionner, accéder aux informations d’un utilisateur voire les modifier rien qu’en s’infiltrant dans une borne Wi-Fi ouverte.

Pour être en mesure de protéger leurs données, les internautes et les mobinautes doivent privilégier les connexions aux réseaux Wi-Fi sécurisés moins facilement accessibles pour les hackers. Il est également nécessaire de mettre en place une solution de sécurité performante, que ce soit pour ordinateurs, smartphones et tablettes, qui permette d’identifier les connexions Wi-Fi sécurisées ainsi que d’éventuelles failles sur le réseau, et qui soit aussi en mesure de protéger les données de l’utilisateur lorsqu’il se connecte au Wi-Fi public. Les pirates informatiques sont de plus en plus expérimentés et à l’affût de la moindre faille, mieux vaut donc mettre toutes les chances de son côté pour protéger ses informations personnelles tout en continuant à profiter des avantages du Wi-Fi.

Argent, Arnaque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Logiciels, Microsoft, Particuliers, Piratage

Le botnet Beebone enterré vivant

Le botnet Beebone enterré vivant Europol vient de mettre fin au botnet Beebone. Plus de 12000 ordinateurs infectés par ce couteau Suisse malveillant.

Beebone, un bot net connu aussi sous le nom de AAEH, permettait à ses « maîtres » d’injecter des logiciels espions dans les machines infectées. Une arme numérique efficace selon Europol. Le 8 Avril, Le centre anti cybercriminalité d’Europol (EC3) a annoncé avoir pris la main sur l’ensemble des serveurs et noms de domaine qui permettaient d’utiliser le bot Beebone (connu aussi sous le nom de AAEH, ndr).

Avec l’aide des autorités néerlandaises, du FBI et du J-CAT, le Cybercrime Action Taskforce, l’ensemble des points de connexion de cet outil pirate ont été bloqués. Ce botnet permettait d’installer différentes formes de logiciels malveillants dans les ordinateurs des victimes. Les premiers chiffres montrent que plus de 12 000 ordinateurs ont été infectés « mais il est probable qu’il y en a beaucoup plus » confirme Europol.

Cette action a été menée avec l’aide des éditeurs de solutions de sécurité informatique (Intel Security, Kaspersky et de Shadow server) et de la remontée d’informations de leurs antivirus. Les FAI et les CERT (Computer Emergency Response Teams) concernés ont été alertés afin de prévenir les victimes. Les attaques ont visés les Etats-Unis, le Japon, Taïwan et l’Inde. (EC3)

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Particuliers, Vie privée

Un bon mot de passe est un mot de passe mort

9 commentaires

Edward Snowden, l’homme le plus détesté par l’armée américaine vient d’expliquer comment créer un bon mot de passe. Peut-on vraiment faire confiance en l’homme qui lisait des documents top secrets non protégés ?

Cela n’a jamais intrigué personne, mais Edward Snowden, l’ancien analyste de la NSA (Il travaillait pour une entreprise privée, NDR), a en sa possession un grand nombre de documents classifiés, non protégés par un mot de passe, ou encore par un chiffrement quelconque. On parle pourtant de documents, par certains, classés « top secrets ». Un petit aparté en mode « troll » pour revenir sur un commentaire de Snowden lors de l’émission américaine « Last Week Tonight » de John Oliver.

L’animateur s’est rendu à Moscou pour interviewé E.S. Parmi les questions posées par John Oliver  : « Qu’est ce qu’un bon mot de passe ? » Snowden a rétorqué qu' »Un mot de passe commun de 8 signes est cassable en moins d’une seconde. » Il conseille de préférer une phrase passe, plus facile à retenir, qu’un mot de passe comportant chiffres, lettres (majuscules, minuscules) et signes de ponctuations.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Particuliers, Propriété Industrielle, Vie privée

NBS System s’oppose au projet « Boite Noire » de la Loi Renseignement

Le projet proposé par le gouvernement de « Boite noire » va, par certain aspects, plus loin que ce que l’on a pu reprocher aux États-Unis avec le Patriot Act. Cette mesure permettant l’écoute à tout instant de tout le trafic d’un hébergeur ou d’un fournisseur d’accès à Internet dans le but de rechercher de potentiels terroristes semble relativement vaine, très peu ciblée et contre-productive économiquement.

En effet, le but semble vain car les personnes visées savent déjà utiliser les réseaux anonymes comme Tor et les VPN (Par exemples avec Vyprvn ; HMA ; …) pour chiffrer leurs connexions et les faire aboutir ailleurs. D’autre part, ils utilisent déjà des algorithmes de chiffrement (comme PGP) dont nombreux sont considérés comme sécurisés à ce jour, ce qui reviendra à intercepter de la soupe numérique illisible, et non des informations utiles.

De plus, les récentes attaques perpétrées l’ont été par des individus déjà connus du ministère de l’intérieur, celui-ci n’a pas eu besoin d’écouter tout Internet pour les identifier jusqu’ici.

Vouloir identifier des individus déjà connus, qui communiquent de manière chiffrée en analysant des Téraoctets de données par jour à la recherche d’un signal qui n’y sera probablement pas ou sera tout le moins noyé dans l’immensité de l’information semble totalement inutile. Ceci est d’autant plus vrai que la Loi étant publique, les utilisations des réseaux potentiellement à but d’attentats passeront par ailleurs, un autre pays ou un autre réseau et encore une fois, de manière chiffrée.

En contrepartie, les contraintes imposées aux hébergeurs semblent bien démesurées quant aux violations des normes de sécurité internationales comme PCI/DSS ou ISO 2700x qui ne permettent pas l’inclusion d’un matériel externe, non contrôlé par l’hébergeur. Cette Loi ferait donc perdre à nos hébergeurs la plupart de leurs certifications, leur imposerait d’ouvrir leurs réseaux à des tiers, qui ne sont bien souvent pas les plus sécurisés. Il semble inutile de préciser ici que de nombreux sites étatiques se sont déjà fait compromettre, ce qui induirait donc encore plus de danger pour l’hébergeur et ses clients, des risques que par ailleurs il ne maîtrisera pas.

Par ailleurs, et c’est là le plus grave, les clients partiront simplement se faire héberger ailleurs. Dans un pays ayant un respect de la communication et de la vie privée, à nos frontières. C’est déjà l’effet qu’a eu le Patriot Act aux US à l’époque, et dont la portée était moindre. À n’en pas douter, cela détruira un pan de notre économie, un des rares à être encore en croissance, ce qui semble disproportionné pour finalement ne rien trouver.

D’autant plus que la Loi ne semble pas mettre de périmètre à cette écoute systématique. Si l’on n’héberge aucun forum, aucun lieu d’échange, aucune VoIP et aucun blog, ce dispositif sera quand même imposé. Cela semble inutile puisque les personnes recherchées ne pourraient pas utiliser un quelconque service d’un hébergeur de ce type, mais pourtant, celui-ci aurait à installer la Boite noire… A l’inverse, l’usage de Skype ou d’autres réseaux d’échanges non contrôlés par ces dispositifs semble courant chez les personnes visées par ces mesures, et ces moyens de communications sont hébergés à l’étranger (et, là encore, chiffrés).

Beaucoup de questions subsistent, qui seraient réglées par des juristes et des parlementaires dont la spécialité ne semble pas nécessairement liée à l’architecture de réseaux de communications. Il reste par exemple à définir les frontières de cette écoute. Les VPN avec nos clients devront-ils aussi tous être écoutés, chacun avec une boite noire séparée ? Ou devrons-nous rejoindre tous ces VPN au même endroit, leur faisant peser un risque de sécurité colossal pour faire des économies et n’avoir à déployer qu’une seule boite noire ? La téléphonie sur IP est-elle un service concerné ? Nos conversations téléphoniques sont-elles donc aussi visées ?

Au final, quelle garanties seront données contre l’abus de ce pouvoir ? Et pourquoi ne pas laisser les juges, comme c’est le cas actuellement, arbitrer du bien-fondé ou non d’une écoute et la commanditer au besoin, comme la Loi le permet déjà aujourd’hui ? Pourquoi serait-ce aux juristes, Parlementaires et Sénateurs de décider qui, quand et comment ? Quelle garantie que le pouvoir politique en place à un moment donné ne l’utilisera pas comme une arme contre ses opposants ?

M. le Premier Ministre, Mesdames et Messieurs les Députés et Sénateurs, nous ne saurions souligner assez que tout ceci, au-delà d’être bien inutile en termes de résultats, semble être une très mauvaise direction à adopter, tant pour la confidentialité à laquelle chacun n’aurait plus jamais droit que pour le fait que cela tuera net un pan de notre économie, un des seuls encore en croissance.

Nous nous joignons à ce titre à nos confrères iKoula, Gandi, Lomaco, AFHADS, Online et OVH pour vous demander solennellement de reconsidérer ce projet.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage

Analyse du virus qui aurait attaqué TV5 Monde

3 commentaires

Jeudi 9 avril, la chaîne de télévision française TV5 Monde a été piratée par des partisans de l’État islamique. Peu de renseignements ont été donnés sur la façon dont l’attaque s’est déroulée. La seule information semi-technique qui était disponible au moment de la rédaction de ce post venait du site web Breaking3Zero.

L’éditeur BlueCoat a envoyé à Data Security Breach son analyse de ce qui semble être le code malveillant en question. Personne, autres que TV5 Monde et l’ANSSI ne disposent d’informations internes, mais nous sommes parvenus à trouver un malware, qui n’est pas totalement identique, mais qui correspond à plusieurs indicateurs révélés par Breaking3Zero. Par exemple, des références aux alias JoHn.Dz et Najaf. Un échantillon de ce hash md5 est  2962c44ce678d6ca1246f5ead67d115a.

Jenxcus and Bladabindi

Cet échantillon semble être un équivalent du virus (Visual Basic Script) worm KJ_W0rm, un dérivé de NJ_W0rm, ancien et particulièrement répandu.Ce malware est connu des antivirus sous le nom de VBS/Jenxcus. Puisqu’il dépend d’un script, le malware est très facile à modifier, ce qui a engendré un très grand nombre de modifications. Jenxcus apparait souvent en compagnie d’un autre malware appelé Bladabindi ou NJ_Rat. Contrairement à Jenxcus, Bladabindi n’est pas un script, mais un exécutable Windows, écrit en .NET. Il possède d’autres caractéristiques et peut, par exemple, prendre des captures d’écran, dérober des identifiants en ligne, mais aussi télécharger et installer d’autres codes malicieux.

Bladabindi peut être créé et configuré en utilisant un outil de création disponible publiquement, rendant ainsi très simple la production de nouvelles versions. Cet outil s’est donc beaucoup répandu, car il est facile à utiliser clandestinement. Bladabindi fait donc aujourd’hui parti des familles de malwares les plus courantes, surtout dans le Moyen-Orient. Aussi, il est devenu tellement fréquent que Microsoft a décidé de prendre des mesures offensives contre lui. Cela a donné lieu à une destruction quelque peu controversée du botnet en juin 2014. Les documents juridiques déposés ont alors identifié les auteurs du clandestin Bladabindi et du worm Jenxcus comme étant Naser Al Mutairi (Koweit), and Mohamed Benabdellah (Algérie). Mutairi aurait utilisé le virus en ligne njq8, et se trouve être probablement la personne mentionnée dans la section Crédits de l’échantillon malware « Najaf ».

Le variant Najaf – md5 2962c44ce678d6ca1246f5ead67d115a

Si l’on compare l’échantillon « Najaf » avec un échantillon type KJ_W0rm, on peut voir qu’il y a des véritables similitudes. Les différences sont surtout dans la façon dont les paramètres hardcodés sont placés dans le code.

Ci-dessus: Najaf vs KJ_W0rm

Fonctionnalité

Le script est plutôt court et simple, et diffère seulement légèrement de KJ_W0rm. Il s’autocopie dans un fichier (ex : C:Users%USERNAME%AppDataRoamingMicrosoftWindowsStart MenuProgramsStartup on Win7. Des clés de lancement sont créées sur le registre afin de dérouler le script :

HKCUsoftwaremicrosoftwindowscurrentversionrun securitynajaf = wscript.exe /B « SecurityNajaf.vbs »HKLMsoftwaremicrosoftwindowscurrentversionrun securitynajaf = wscript.exe /B « SecurityNajaf.vbs »

Une fois que cette installation initiale est faite, il s’autocopie sur le dossier racine de tous les supports amovibles connectés. Un dossier raccourci (*.LNK) va aussi se créer. Le script va tenter de restaurer le dossier toutes les six secondes.

A partir de ce moment, le script va entrer dans un circuit très court où il se connectera au serveur configuré de commande et de contrôle (C&C) en HTTP, annonçant qu’il est prêt à accepter les commandes.  Le serveur C&C est hardcodé 127.0.0.1, il n’y a donc pas de commande à distance établie et d’adresse de contrôle dans cet échantillon. Cela peut donc dire que l’échantillon est juste un test, ou bien qu’il y a un mécanisme de rebouclage installé sur l’ordinateur où il fonctionne. Le malware donne des informations sur le système, tels que le nom d’utilisateur, le nom de l’ordinateur, l’OS, etc.

Commandes possibles

uninstall Désinstaller le script
RE Recharger le script
download Télécharger un dossier de %url
update Mettre à jour le script et recharger
execute Executer un fichier
cmd Commande shell directe
Attack Ping flood contre cible donnée
ourl Ouvrir URL
close Sortir du script
shutdown Eteindre l’ordinateur
restart Redémarrer l’ordinateur
logoff Fermer la session

Attribution

Sur internet, n’importe qui peut proclamer appartenir à n’importe quel mouvement de son choix. Ils peuvent non seulement utiliser tout type d’outil, prétendre être des personnes complètement différentes, mais aussi mentir autant qu’ils le veulent. Il est donc difficile mais pas impossible de trouver les auteurs des méfaits. Il faut pour cela des données solides, de l’expérience, et souvent l’application des lois. Pour cette raison, nous ne ferons aucune supposition sur qui se cache derrière cette intrusion dans le réseau de TV5. Toutefois, nous pouvons montrer des indicateurs.

L’échantillon 2962c44ce678d6ca1246f5ead67d115a est identique au script VBS mentionné par l’article de Breaking3Zero. Le script contient les mêmes formules de bienvenue, les mêmes JoHn.Dz et Najaf. Security.Najaf semble correspondre au handle en ligne d’un développeur apparemment situé dans la province de Najaf en Irak. Il est un utilisateur très actif sur le forum dev-point[.]com, un forum qui contient beaucoup de NJ-Rat/Worm. Il est qualifié de recodeur, programmeur, dans de nombreux scripts malicieux.

Un exemple est le dossier avec md5 de8e6e14b7e548eda7d4ff33bb3705ad:

Dans ce document, le serveur C&C est défini comme aziza12.no-ip.biz, un domaine qui a aussi été utilisé comme C&C par le malware Bladabindi, tel que l’échantillon avec md5 a5ce6dcb062ceb91a6fce73e99b3514d. C’est un domaine DynDNS, ce qui signifie qu’il n’y a pas de donnée de domaine d’enregistrement consultable. Cependant, si l’on examine l’historique IP de ce domaine, on peut constater qu’il est relié à de nombreuses adresses IP, la plupart situées en Irak. L’une d’elles, 178.73.223.9, a renvoyé cette année au domaine : islamstate.no-ip[.]biz.

Cela ne veut-il rien dire ?

Non, pas nécessairement. Le chevauchement d’IP peuvent arriver pour plusieurs raisons, les alias sur les forums et les malwares internes sont justes des chaînes de textes. NJRat et son malware relié sont utilisés par de nombreux activistes au Moyen-Orient, aussi leur utilisation dans ce piratage, si elle est confirmée, ne peut pas servir de base à une conclusion.

Détection

Les worms VBS basé sur NJ_W0rm et KJ_W0rm devraient à présent être détectés par la plupart des antivirus, même si c’est toujours un défi de détecter de manière fiable des malwares basés sur des textes, car ils sont modifiables très facilement.

Bluecoat a, en tout, cas ajouté une détection pour ces familles dans notre solution Malware Analysis Appliance :

L’attaque de TV5 Monde, tout comme l’attaque Sony, prouve que n’importe quelle entité sur internet est à présent une cible. Tous les conflits portent maintenant la probabilité d’une cyber dimension, car ces attaques sont faciles, peu coûteuses et relativement sans risque. Malheureusement, il ne semble pas y avoir de solution miracle pour cette situation. Les systèmes d’ordinateurs modernes sont tellement interconnectés et complexes qu’il y a toujours une opportunité de méfait si vous êtes persévérant, et vous n’avez même pas besoin de l’être tout le temps. Si le pirate ne peut pas trouver immédiatement un moyen de rentrer, il y a toujours le facteur humain. Les humains sont malheureusement difficiles à corriger. Cependant, des personnes qualifiées peuvent faire la différence entre un gain et une perte. Cela peut paraitre étrange de la part d’un vendeur de boîtes, mais la sécurité ne sort pas d’une boîte. Elle vient des gens qui utilisent les boîtes.