Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

TOP 5 des attaques DNS : Le phishing toujours plébiscité par les hackers, les DDoS en forte hausse

14 octobre 2022 Damien Bancal Un commentaire

D’après le rapport IDC Global DNS Threat Report 2022, les attaques par phishing ont représenté 44% des attaques subies par les entreprises françaises tandis que les DDoS ont vu leur part croître de près de 11 points pour s’établir à 33%.

EfficientIP, entreprise hexagonale spécialisée dans l’automatisation du DDI (DNS, DHCP, IPAM), présente le Top 5 des attaques visant ou utilisant le DNS comme vecteur qui ont frappé les entreprises françaises en 2022. D’après le Global DNS Threat Report 2022, les hackers se sont ainsi concentrés sur les attaques par phishing, les malware basées sur le DNS, le DDoS, le DNS Hijacking et enfin l’abus des mauvaises configurations DNS au niveau du cloud. Parmi celles-ci, les attaques DDoS ont été en forte augmentation, boostées par le contexte de tensions internationales extrêmes.

Phishing

Aujourd’hui le phishing est la menace numéro 1 qui pèse sur le DNS. Ce mode opérationnel a représenté 44% des attaques subies par les entreprises françaises interrogées dans le cadre du DNS Threat Report. Les hackers se font passer pour un organisme connu (banque, service des impôts, CAF, etc.), en utilisant le logo et le nom de cet organisme pour inciter les utilisateurs à cliquer sur des liens frauduleux. L’usage de liens trompeurs et corrompus est ainsi le principal vecteur d’attaque utilisé par les hackers pour compromettre les DNS.

DNS based malwares

En deuxième position, les attaques DNS basées sur des Malwares ont quant à elles progressé de 8 points par rapport à 2021 pour représenter 40% des tentatives de compromissions qui ont visé les entreprises françaises en 2022. Pour ces attaques, les hackers tentent d’installer des virus au niveau du serveur DNS pour atteindre plusieurs objectifs. Ils peuvent par exemple altérer les configurations TCP/IP pour rediriger les utilisateurs vers des noms de domaine frauduleux, ou alors s’appuyer sur cette porte d’entrée pour exfiltrer les données qui circulent via le DNS.

DDoS

En troisième place, les DDoS ont vu leur part exploser et prendre 11 points pour représenter 33% des attaques subies par les entreprises en 2022. Le but de ces attaques est toujours le même, à savoir rendre impossible le fonctionnement du DNS en le saturant de requêtes et ainsi empêcher les entreprises de fonctionner. Dans un climat international tendu, ces attaques visant plus à mettre hors service ont été largement privilégiées aux ransomwares ayant des visées plus pécuniaires pour les hackers.

DNS Hijacking

Quatrième, le DNS hijacking – aussi appelé « redirection DNS » ou « attaque DNS » représente quant à lui 25% des attaques qui ont frappé les entreprises françaises, soit 8 points de plus que l’an passé. Ces attaques visent principalement deux niveaux de l’ensemble du système : le registre qui contrôle la liste des noms de domaine, et le serveur DNS qui gère les enregistrements techniques. Dans les deux cas l’objectif est de détourner, d’une manière ou d’une autre, les fonctionnalités du serveur de domaine des entreprises, soit pour rediriger les utilisateurs vers des domaines frauduleux, soit pour exfiltrer des données.

Abus des mauvaises configurations cloud

Enfin, la cinquième attaque la plus représentée en France avec 22% est l’abus des mauvaises configurations au niveau du cloud. Ces attaques exploitent les failles les erreurs de configuration au niveau du DNS et qui permettent aux hackers de mettre en place des redirections frauduleuses. Il est important de noter que ces attaques touchent aussi bien des entreprises que les grands hyperscalers.

« Ces attaques, leur variété, leur nombre et l’impact qu’elles ont sur les entreprises, aussi bien financier qu’au niveau de la réputation, montrent que la sécurité du DNS doit devenir une priorité absolue des entreprises. Il s’agit d’un organe central et vital qui représente bien trop d’opportunités pour les hackers s’il est mal protégé, » détaille Ronan David, directeur de la stratégie et cofondateur d’EfficientIP. « L’intégration de solutions de sécurité au niveau du serveur de noms de domaine permet non seulement de protéger celui-ci, mais aussi de renforcer la protection de tous les utilisateurs et des outils de l’entreprise.«

Cybersécurité, loi

Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities

14 octobre 2022 Damien Bancal

Les Etats-Unis et l’Union européenne bientôt au diapason concernant le transfert des données personnelles ?

Le décret signé le 7 octobre dernier par le président américain, Joe Biden, concernant le transfert des données personnelles permet de renforcer les mesures garantissant la confidentialité et la protection des libertés civiles et des données personnelles de résidents européens transférées vers les États-Unis (Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities).

Pour mémoire, le dispositif du Privacy Shield avait été invalidé en 2020 par la justice européenne (CJUE 16 juillet 2020 arrêt dit « Schrems II »), qui avait jugé que les atteintes portées à la vie privée des personnes dont les données personnelles sont traitées par les entreprises et opérateurs soumis à la législation américaine étaient disproportionnées au regard des exigences de la Charte des Droits Fondamentaux de l’Union européenne.

Il s’agissait ni plus ni moins de restaurer la confiance entre l’Union européenne et les Etats-Unis concernant leurs flux transfrontaliers de données personnelles. Ce décret devrait permettre à la Commission européenne d’initier la procédure menant à une décision d’adéquation, dont l’objectif à terme serait de reconnaître l’adéquation de la législation américaine avec les exigences de législation européenne en matière de protection des données personnelles. (Réactions de Corinne Khayat et Anne-Marie Pecoraro, Avocate associée au cabinet UGGC).

APT, backdoor, cyberattaque

Cyber attaque : campagne de cyber-espionnage du groupe POLONIUM contre des cibles basées en Israël

13 octobre 2022 Damien Bancal

Des pirates s’intéressant uniquement à des cibles israéliennes, POLONIUM, ont attaqué plus d’une douzaine d’organisations dans différents secteurs, tels que l’ingénierie, les technologies de l’information, le droit ou encore les communications, le marketing et le branding, les médias, les assurances et les services sociaux.

POLONIUM a ciblé plus d’une douzaine d’organisations en Israël depuis au moins septembre 2021, et les actions les plus récentes du groupe ont même été observées en septembre 2022. Les secteurs ciblés par ce groupe comprennent l’ingénierie, les technologies de l’information, le droit, les communications, le marketing et le branding, les médias, les assurances et les services sociaux.

POLONIUM est un groupe de cyber espionnage décrit par Microsoft pour la première fois en juin 2022. Selon Microsoft, le groupe est basé au Liban et coordonne ses activités avec d’autres acteurs affiliés au ministère iranien du Renseignement et de la Sécurité.

Selon ESET Research, POLONIUM est un acteur très actif qui dispose d’un vaste arsenal de malwares, et qui les modifie et en développe constamment de nouveaux. L’utilisation de services dans le Cloud tels que Dropbox, Mega et OneDrive pour les communications de commande et de contrôle (C&C) est une caractéristique commune à plusieurs des outils du groupe. Les renseignements et les signalements publics sur POLONIUM sont très rares et limités, probablement parce que les attaques du groupe sont très ciblées et que le vecteur d’infection initial n’est pas connu.

« Les nombreuses versions et modifications que POLONIUM a introduites dans ses outils personnalisés démontrent un effort continu visant le long terme pour espionner les cibles du groupe. ESET en déduit que ce groupe de pirates est intéressé par la collecte de données confidentielles auprès de ses cibles, et ne semble pas s’engager dans des actions de sabotage ou de ransomwares, » explique Matías Porolli, chercheur chez ESET qui a analysé la campagne.

La boîte à outils de POLONIUM se compose de sept portes dérobées personnalisées : CreepyDrive, qui détourne les services de OneDrive et Dropbox dans le Cloud pour les communications de C&C ; CreepySnail, qui exécute les commandes reçues depuis l’infrastructure des attaquants ; DeepCreep et MegaCreep, qui utilisent respectivement les services de stockage de fichiers Dropbox et Mega; et FlipCreep, TechnoCreep et PapaCreep, qui reçoivent des commandes depuis les serveurs des attaquants. Le groupe a également développé plusieurs modules personnalisés pour espionner ses cibles en prenant des captures d’écran, en enregistrant les frappes au clavier, en espionnant via la webcam, en ouvrant des shells inversés, en exfiltrant des fichiers, etc.

« La plupart des modules malveillants du groupe sont concis, avec des fonctionnalités limitées. Dans un cas, les attaquants ont utilisé un module pour effectuer des captures d’écran et dans un autre pour les transmettre au serveur de C&C. Dans le même ordre d’idée, ils aiment diviser le code de leurs portes dérobées, en répartissant la fonctionnalité malveillante dans plusieurs petites DLL. Espérant peut-être que les défenseurs ou les chercheurs n’observeront pas la chaîne d’attaque complète », termine Matias Porolli.

Cybersécurité

Données personnelles : Les Français exigent plus de transparence de la part des entreprises

13 octobre 2022 Damien Bancal

Les Français exigent plus de transparence de la part des entreprises concernant l’utilisation de leurs données personnelles et admettent avoir besoin d’aide pour garantir leur confidentialité.

Une étude CISCO indique que 77 % des Français estiment que le traitement des données personnelles par une entreprise est révélateur de la façon dont elle considère et respecte ses clients.

55 % des Français déclarent ne pas être en mesure de protéger efficacement leurs données personnelles.

38 % des Français estiment que le gouvernement doit être l’acteur principal de la protection de leur vie privée.

Menée dans 12 pays dont la France, l’étude montre que près de huit consommateurs français sur dix font un lien direct entre le traitement des données personnelles par une entreprise et le respect de ses clients. Ainsi, la transparence apparaît comme la priorité absolue aux yeux des Français.

Pour accorder leur confiance à une entreprise, 32 % des Français exigent d’avoir un accès simplifié aux informations concernant l’utilisation de leurs données et 30 % déclarent ne vouloir en aucun cas que leurs informations personnelles puissent être commercialisées.

À l’international

L’érosion de la confiance auprès des entreprises qui ne respectent pas les données des consommateurs a des conséquences directes. Ainsi :

76 % des consommateurs dans le monde déclarent qu’ils n’achèteraient pas de produits/solutions à une entreprise à laquelle ils ne font pas confiance pour la gestion de leurs données.
37 % indiquent qu’ils ont changé de fournisseur en raison des pratiques en matière de confidentialité des données.
53 % disent qu’ils gèrent leurs paramètres de cookies à partir d’un site web avant de les accepter.
46 % des personnes possédant un appareil à commande vocale à domicile déclarent l’éteindre régulièrement pour protéger leur vie privée.
En France, il y a un fort besoin d’accompagnement et de clarté quant à l’utilisation des données personnelles par les entreprises. En effet, 59 % des Français avouent ne pas parvenir à lire complètement les conditions générales avant de les accepter. De plus, les Français aimeraient pouvoir faire confiance aux entreprises dans la personnalisation de leurs paramètres de confidentialité sous peine d’aller voir ailleurs… Ainsi, lorsqu’une entreprise ne peut pas répondre aux attentes de protection de leur vie privée, 25 % des consommateurs français déclarent changer de prestataire de services pour des raisons de confidentialité.

Des Français volontaires et à l’écoute mais qui restent à convaincre

55 % des Français déclarent ne pas être en mesure de protéger efficacement leurs données personnelles. Les raisons évoquées sont l’impossibilité de savoir ce que les entreprises font de leurs données (83 %) tandis que 45 % des Français se sentent obligés d’accepter la manière dont les données sont utilisées s’ils veulent disposer du service proposé par l’entreprise en question. Plus préoccupant, 43 % ont le sentiment que leurs données personnelles sont de toutes façons déjà accessibles. L’effort de transparence est ici une question majeure pour restaurer la confiance.

38 % des Français estiment que le gouvernement doit endosser le rôle de protecteur des données tandis que 21 % pensent que la garantie de la confidentialité incombe aux entreprises. Environ 1 Français sur 2 pense que les lois en matière de protection des données personnelles ont un impact positif. Autre fait intéressant, les consommateurs français ont une meilleure connaissance des lois relatives à la protection de la vie privée (52 %) que leurs voisins allemands (46 %), italiens (33 %) et espagnols (28 %). Cela laisse l’opportunité au gouvernement de proposer des nouvelles lois pour des Français plus que jamais à l’écoute.

Enfin, une lueur d’espoir existe concernant la réappropriation des données personnelles par les Français puisqu’ils sont 18 % à avoir déjà exercé leur droit d’accès qui consiste à demander à une entreprise de récupérer les données qu’elle détient sur eux. En effet, même si cette part est relativement faible par rapport à des pays comme l’Inde (59 %) ou l’Italie (26 %), on peut envisager que les Français seront davantage conscients des données récoltées par des tiers à mesure que cette pratique, encore inconnue il y a quelques années, prendra de l’ampleur. La sensibilisation aux recours possibles pour les Français souhaitant plus de visibilité sur leurs données sera donc un des principaux moteurs du regain de leur confiance.

cyberattaque, santé

Les cyberattaques entraîneraient une augmentation des décès dans les hôpitaux

7 octobre 2022 Damien Bancal

Les cyberattaques contre les établissements médicaux entraîneraient, selon des chercheurs, une probabilité d’augmentation du taux de mortalité des patients.

L’étude, menée par le Ponemon Institute, un groupe de réflexion à Washington, a interrogé plus de 600 professionnels des technologies de l’information de plus de 100 établissements de santé. Les résultats de l’étude fournissent la preuve la plus concrète à ce jour que le piratage persistant des centres médicaux américains entraîne une détérioration de la qualité des soins aux patients et une augmentation de la probabilité de leur décès.

Les deux tiers des personnes interrogées qui ont subi des attaques de rançongiciels ont déclaré que ces attaques perturbaient les soins aux patients. 59 % des personnes interrogées ont signalé une augmentation de la durée de séjour des patients à l’hôpital, ce qui a entraîné une surcharge des ressources. Près d’un quart ont déclaré que les attaques avaient entraîné une augmentation du nombre de décès dans leurs établissements.

Lors d’une attaque par rançongiciel, les pirates accèdent aux réseaux informatiques d’une organisation, les bloquent et exigent un paiement. Ces dernières années, ces piratages sont devenus un véritable désastre pour le secteur de la santé. Les hôpitaux ne signalent pas toujours les cas dont ils ont été victimes. Cependant, depuis 2018, le nombre d’attaques documentées a augmenté chaque année depuis 2018, atteignant 297 l’année dernière, selon une étude de Recorded Future.

Au cours des trois dernières années, plus de la moitié des organisations de soins de santé de l’enquête ont été infectées par des logiciels malveillants au cours des trois dernières années, selon une étude de Ponemon.

Les établissements de soins de santé vont des chaînes d’hôpitaux géants aux petites cliniques privées avec seulement quelques employés et peu ou pas de professionnels de l’informatique ou de la cybersécurité. Les dernières cyberattaques de Centres hospitaliers, en France, ont remis sur la table cette problématique sécuritaire.

Les grands réseaux hospitaliers peuvent avoir des spécialistes de la sécurité de l’information plus qualifiés, mais ces hôpitaux sont également des cibles plus importantes. Une attaque peut ralentir les soins aux patients dans des centaines d’hôpitaux à travers le pays, comme cela s’est produit lors de l’attaque de 2020 contre les services de santé universels.

« Mais il est clair depuis longtemps que les cyberattaques persistantes contre les hôpitaux font des ravages sur les patients » indique Korman, vice-président de la société de cybersécurité Claroty.

« Nous savons que les retards d’assistance affectent le taux de mortalité, et nous savons que les cyberattaques causent des retards« , a déclaré le le Ponemon Institute.

Cybersécurité, VPN

L’Inde rend difficile l’utilisation de VPN sur son territoire

6 octobre 2022 Damien Bancal

Une nouvelle loi indienne impose aux opérateurs de VPN de garder les informations sur les utilisateurs sur une période de 60 mois.

Face à l’introduction de nouvelles réglementations relatives à l’utilisation des VPN en Inde, plusieurs opérateurs d’outil de réseau privé virtuel ont annoncé le retrait de leurs serveurs situés dans ce pays. L’Inde exige, dorénavant, la sauvegarde des informations personnelles des utilisateurs par tous les fournisseurs, et cela pendant au moins cinq ans. Autant dire que le problème est rapidement apparu pour les sociétés qui n’ont pas de journalisation (pas d’enregistrement de connexion, etc.) de leur service.

cyberattaque, Social engineering

Le phishing, au plus haut depuis 2020

6 octobre 2022 Damien Bancal

Les attaques par hameçonnage vocal hybride (téléphone et email) ont progressé de 625 % depuis le premier trimestre 2021. Plus de 58% des attaques de phishing destinées à dérober des identifiants visaient Office 365.

Les attaques basées sur la réponse ciblant les boîtes emails des entreprises viennent d’atteindre un niveau record depuis 2020, représentant à elles seules 41 % de la totalité des escroqueries par e-mail ciblant les salariés ayant eu lieu au cours du deuxième trimestre de cette année. Tel est le principal enseignement du dernier rapport trimestriel de la société HelpSystems. Entre avril à juin 2022 des centaines de milliers d’attaques par phishing et sur les réseaux sociaux visant les entreprises et leurs collaborateurs ont été repérées.

Les fraudes 419 toujours très présentes

La fraude 419 (scam 419 / arnaque nigériane) consiste en une attaque d’ingénierie sociale reposant sur la réponse des victimes à travers un canal de communication choisi. Phishing, vishing/smishing (ciblage par appel vocal ou SMS) et la fraude 419 ou “arnaque nigériane”. L’arnaque à l’amour, la plus connue, ou autres fausses ventes et propositions commerciales piégées.

Les escroqueries par fraude 419 ont représenté 54 % de toutes les menaces par e-mail basées sur la réponse au deuxième trimestre enregistrant une hausse de 3,4 % en part des signalements jusqu’à présent en 2022, et constituant régulièrement la majorité de ces attaques. La compromission des e-mails professionnels (BEC), qui permet aux acteurs de la menace de se faire passer pour une source de confiance, comme un salarié de l’entreprise ou un sous-traitant, s’est également intensifiée au cours de cette période, contribuant à 16 % du volume global des attaques. Si la part des attaques parmi les autres menaces de la catégorie « Response-Based » a baissé par rapport au premier trimestre, les attaques par vishing hybride (hameçonnage vocal amorcé par e-mail) ont pour leur part également progressé, atteignant un niveau record sur six trimestres, soit un bond de 625 % en volume par rapport à Q1 2021.

« Les attaques basées sur la réponse représentent toujours une part significative du volume de phishing, ce qui montre que les techniques d’ingénierie sociale continuent de se révéler efficaces pour les criminels », commente John Wilson, chercheur principal de l’unité Recherche sur les menaces de HelpSystems. « Nous constatons d’ailleurs que ces derniers continuent à perfectionner les leurres 419, de vishing et de BEC ; ils ne se réinventent pas, mais s’appuient majoritairement sur les nouvelles variantes des menaces d’ingénierie sociale ayant fait leurs preuves par le passé. »

Le site ZATAZ révélait, fin septembre, plusieurs fraudes aux paiements de loyer ou encore à la feuille d’imposition utilisant cette technique.

Autres enseignements clés de ce rapport

Le phishing ne cesse de progresser avec des attaques en croissance de 6 % par rapport au premier trimestre 2022. Au deuxième trimestre, les attaques sur les réseaux sociaux ont augmenté de 20 % par rapport au premier trimestre, avec une moyenne de près de 95 attaques par entreprise et par mois. Avec un bond de plus de 100 % des attaques au cours des 12 derniers mois, les plateformes sociales représentant les outils les plus accessibles pour escroquer le plus grand nombre de victimes.

Au deuxième trimestre, le cheval de Troie Emotet a officiellement regagné son statut de principale charge utile après avoir progressé de 30 % pour représenter près de la moitié de toutes les attaques par malware. Le nouveau venu, Bumblebee, s’établit à la troisième place, et serait potentiellement lié aux anciens payloads très prisés que sont Trickbot et BazaLoader.

Les attaques par vol d’informations d’identification visant les comptes Office 365 ont atteint un niveau record sur six trimestres en termes de part et de volume au cours de la période analysée. Plus de 58% de tous les liens de phishing destinés à dérober des identifiants visaient ceux liés à Office 365 (+ 17,7 % sur l’année).

Cybersécurité, Mise à jour, Patch, Securite informatique

Une faille dans Python

23 septembre 2022 Damien Bancal

Une vulnérabilité vieille de 15 ans dans le langage Python refait surface et risque d’affecter plus de 350 000 projets open source.

Une vieille faille dans un langage très couru, voilà qui n’arrange pas les affaires des codeurs et concepteurs de projets sous Python.
Un récent rapport de Trellix détaillant la présence d’une vulnérabilité de traversée de répertoire non corrigée vieille de 15 ans (CVE-2007-4559) dans le module tarfile de Python, une bibliothèque utilisée pour lire et écrire des fichiers archivés sur bande (tar), expose potentiellement plus de 350 000 dépôts open source qui l’utilisent dans leurs projets.

Cette situation rappelle les défis que pose l’intégration de code source ouvert dans les projets logiciels, en particulier ceux utilisés dans les environnements d’entreprise. « Alors que les retombées de la découverte de Log4Shell dans la bibliothèque Log4j remontent à près d’un an, les chercheurs continuent d’identifier des faiblesses dans la chaîne d’approvisionnement, ce qui souligne le besoin continu de ressources supplémentaires pour aider à identifier et à traiter les vulnérabilités dans certaines des bibliothèques et des logiciels les plus courants utilisés aujourd’hui par les organisations. » indique Satnam Narang, Senior Staff Research Engineer chez Tenable.

Des initiatives telles que les niveaux de la chaîne d’approvisionnement pour les artefacts logiciels (SLSA) et l’inventaire logiciels (SBOM), ainsi que des projets tels qu’Alpha-Omega sous l’égide de l’Open Source Security Foundation, sont conçus pour combler le fossé de la sécurité au sein de la communauté open source, car de nombreux développeurs sont souvent des contributeurs non rémunérés qui donnent de leur temps.

Il n’existe pas de solution unique pour résoudre le problème de la sécurité de la chaîne d’approvisionnement des logiciels, mais les propositions ci-dessus offrent la possibilité de contribuer à faire une différence significative.

Des rapports comme celui-ci ne seront certainement pas les derniers, c’est pourquoi la poursuite des initiatives est cruciale.

cyberattaque, Cybersécurité, Téléphonie

190 applications totalisant plus de 4,8 millions de téléchargements piégées

22 septembre 2022 Damien Bancal

Des découvrent que plus de 190 applications totalisant plus de 4,8 millions de téléchargements ont distribué le cheval de Troie Harly, alors que ces dernières étaient disponibles dans les magasins d’applications officiels. Ces applications en apparence légitimes ont permis à des cybercriminels d’inscrire des utilisateurs peu méfiants à des services payants sans leur consentement.

Des chercheurs scrutent en permanence le paysage des menaces mobiles afin de tenir les utilisateurs informés des tendances les plus significatives. Ils ont récemment découvert une campagne malveillante œuvrant via le Google Play Store, comptabilisant au total plus de 4,8 millions de téléchargements d’applications infectées. Au cours des deux dernières années, les cyberpirates ont imité plus de 190 applications légitimes, aussi bien des lampes de poche que des mini-jeux, pour distribuer le cheval de Troie Harly et abonner les utilisateurs affectés à des services payants sans leur consentement.

Dès que l’utilisateur lance l’application malveillante, le cheval de Troie peut entamer sa collecte d’informations sur son appareil et son réseau mobile. Le téléphone de l’utilisateur bascule vers un autre réseau mobile, puis le cheval de Troie demande au serveur C&C de configurer la liste des abonnements auxquels il faut s’inscrire. Le trojan ouvre alors le lien de l’abonnement dans une fenêtre invisible, saisit le numéro de téléphone de l’utilisateur identifié plus tôt, appuie sur les boutons requis et saisit le code de confirmation provenant d’un SMS. Résultat : l’utilisateur souscrit à des abonnements payants sans s’en rendre compte.

Autre caractéristique notable de Harly, il peut confirmer des abonnements même lorsqu’ils requièrent une vérification par appel téléphonique. Dans ce cas de figure, le cheval de Troie peut émettre un appel via un numéro spécifique et confirmer l’abonnement.

“Même si les magasins officiels sont surveillés de près, les modérateurs ne peuvent pas toujours intercepter les applications indésirables avant qu’elles ne soient publiées. Il est d’autant plus difficile de reconnaître que ces applications représentent une menace potentielle car elles font effectivement ce qui est proposé dans leur description. Les avis des utilisateurs peuvent aider, mais ils peuvent aussi être exagérés et pas toujours fiables. C’est pourquoi nous recommandons vivement aux utilisateurs d’installer une solution de sécurité vérifiée qui empêchera le téléchargement de programmes dangereux« , commente Tatyana Shishkova, experte en sécurité chez Kaspersky.

Entreprise, RFID

Le Kenya mise sur la technologie RFID allemande pour identifier les voitures

22 septembre 2022 Damien Bancal

Un puce RFID collée sur le pare-brise permet d’identifier l’ensemble des véhicules au Kenya.

L’État africain du Kenya continue de s’appuyer sur une technologie Allemande exploitant le RFID. Depuis 2016, le Kenya a numérisé l’enregistrement et l’identification de ses véhicules. Depuis, toutes les nouvelles voitures et tous les nouveaux camions reçoivent un autocollant RFID à apposer sur le pare-brise lors de l’immatriculation. L’IDeSTIX est produit par l’entreprise allemande TÖNNJES. Aujourd’hui, la National Transport & Safety Authority (NTSA) du Kenya a de nouveau fait appel au leader international du marché de l’identification des véhicules : d’autres IDeSTIX doivent être livrés à l’État d’Afrique de l’Est d’ici fin 2023. À l’avenir, les autocollants disposeront en outre d’un code 2D et d’un numéro de série.

Identification sans contact et technologie de cryptage hautement sécurisée

Les produits de TÖNNJES servent à l’identification électronique des véhicules, ou EVI. « Le Kenya utilise l’IDeSTIX comme troisième plaque d’immatriculation », explique le directeur Jochen Betz. L’autocollant contient une puce RFID RAIN sur laquelle est enregistré un numéro d’identification unique et codé plusieurs fois. Celui-ci peut être associé aux informations correspondantes du véhicule dans la base de données NTSA. Seuls les lecteurs autorisés peuvent déchiffrer le numéro. » De cette manière, la police reconnaît immédiatement si les données de l’IDeSTIX correspondent aux autres plaques d’immatriculation du véhicule », explique Betz.

Plus de certitude dans le commerce de voitures d’occasion

Les autocollants RFID, également utilisés par les Philippines ou la société pétrolière saoudienne Saudi Aramco, sont personnalisés et munis d’un code OR lors de leur émission sur place. Celui qui a un smartphone sous la main peut le scanner et voir les caractéristiques telles que le numéro d’immatriculation, la couleur de la voiture, la marque et le modèle. « Les arnaques sont ainsi nettement plus difficiles, surtout lors de la vente de voitures d’occasion », explique Jochen Betz. Enlever simplement l’autocollant pour dissimuler un vol ne fonctionne pas, car il s’autodétruit lorsqu’on le retire.

cyberattaque, Cybersécurité

Cybersécurité dans le retail : comment se défendre ?

20 septembre 2022 Damien Bancal

Tous les acteurs du retail sont aujourd’hui concernés par les cyberattaques. Qu’ils soient géants du e-commerce ou du commerce de proximité, ces acteurs détiennent une multitude de données sensibles, des noms et adresses aux habitudes de consommation, en passant par les numéros de cartes bancaires et autres informations personnelles identifiables – une mine d’or pour les cybercriminels. Mais, la bonne nouvelle, c’est qu’il existe des mesures pour renforcer leur sécurité.

Utiliser les nouvelles technologies

L’une des principales raisons pour lesquelles le secteur du retail est maintenant une cible privilégiée est la simplicité et la vulnérabilité de son infrastructure. Les systèmes de vente sont souvent créés en utilisant une combinaison de différentes technologies, certains dormants et d’autres en évolution perpétuelle. En général, cela signifie qu’ils utilisent à la fois une infrastructure existante et de nouvelles innovations numériques ou basées sur le cloud.

Le développement des technologies est en grande partie motivé par le désir et le besoin de fournir des expériences omnicanales aux consommateurs. Pour rester compétitifs, les détaillants doivent offrir une certaine flexibilité à leurs clients, impliquant ainsi de proposer différents moyens de paiement. Par conséquent, ils sont souvent réticents à l’idée de mettre à jour les systèmes. Après tout, aujourd’hui plus que jamais, chaque transaction compte, et les détaillants ne veulent pas être confrontés à des systèmes complexes ou à des obstacles qui pourraient empêcher ou ralentir les ventes.

Cependant, les commerçants ont tendance à vouloir améliorer leurs offres numériques et à entrer dans l’ère de l’e-commerce. La pandémie a certainement joué un rôle dans cette évolution, car de nombreux acteurs ont été contraints d’adopter des méthodes numériques pour poursuivre leurs activités. Mais si ces systèmes, anciens et nouveaux, répondent aux objectifs d’efficacité et d’évolutivité, ils présentent également de multiples failles potentiellement exploitables par les cybercriminels.

Retail : un champ d’activité d’envergure pour les cybercriminels

À quelle fréquence les cyberattaques affectent-elles réellement ce secteur ? Des études récentes font état d’une augmentation de la cybercriminalité, d’autant plus que de nombreux détaillants ont accéléré leur transformation numérique. En fait, les données montrent que 65% des entreprises ont signalé une hausse des cyberattaques depuis la pandémie. Ces attaques sont coûteuses autant d’un point de vue financier que de celui de la réputation.

Il existe également plusieurs autres raisons expliquant l’exposition de ce secteur aux attaques. Le turn-over y est traditionnellement plus élevé, mettant en exergue qu’en l’absence d’une gestion appropriée, le taux d’accès aux systèmes par des comptes privilégiés est également élevé.

La solution est simple : simplifier et renforcer la sécurité

Au vu des risques pris en matière de sécurité informatique il semble pertinent de mettre en place une plateforme de gestion des accès ou gestion des accès à privilège (PAM). En un mot, cela consiste à s’assurer que chaque brique a accès aux informations nécessaires pour effectuer ses tâches et non à l’intégralité des données de l’entreprise. Ceci dans l’objectif de protéger et de gérer au mieux la confidentialité.

De nombreux risques de cybersécurité inhérents au secteur sont liés à l’accès privilégié, et la mise en place d’un tel système permet d’ajouter rapidement et facilement une couche supplémentaire de protection. Ainsi, les attaques sont arrêtées avant qu’elles ne puissent causer des dommages ou se propager à l’ensemble de l’entreprise. En effet, le système PAM n’accorde jamais à ces utilisateurs un accès privilégié à toutes les parties du système.

Une solution PAM robuste sécurise également les composants machine-à-machine (M2M) au sein d’un système. Ainsi, même si un pirate prend d’une manière ou d’une autre le contrôle d’un appareil IoT dans un entrepôt automatisé, la solution PAM bloque l’accès à cet appareil. Par conséquent, le pirate ne peut pas l’utiliser comme point d’entrée. De plus, une solution PAM complète est capable de surveiller en temps réel toute l’activité des différentes sessions, et mettre automatiquement fin aux usages suspects ou simplement alerter l’administrateur.

Non seulement ce type de technologie renforce considérablement la sécurité, mais il permet à l’entreprise de rester en conformité. Le secteur du commerce est soumis à une grande variété de réglementations auxquelles les entreprises doivent se conformer (par exemple, PCI DSS, RGPD, NIST et SOX). En plus de la surveillance, le PAM enregistre également chaque session et la rend consultable, et accessible pour un audit potentiel. En outre, ces sessions enregistrées sont également utiles pour les audits de sécurité, ainsi que pour la formation des membres de l’équipe de sécurité.

La cybersécurité dans le secteur du commerce ne doit pas être compliquée mais intuitive, et les professionnels doivent faire des compromis entre les nouvelles et les anciennes technologies. Il est essentiel que nous commencions à discerner les risques, et à mettre en œuvre des technologies qui peuvent les limiter et combattre les menaces afin d’inverser la tendance. (par Etienne de la Fouchardière, expert Retail chez WALLIX)

Entreprise, loi

Recours collectif contre Playstation par des gamers Russes

3 septembre 2022 Damien Bancal

Vingt-huit gamers Russes lancent une action collective devant les tribunaux, ils ne peuvent plus jouer !

Des utilisateurs Russes de PlayStation ont déposé un recours collectif pour un montant de 280 millions de roubles, soit un peu plus de 450 000€. 28 plaignants qui ne peuvent plus, depuis l’entrée en guerre de leur pays contre l’Ukraine, accéder et acheter sur le PlayStation Store. Les conditions d’utilisation des programmes Sony et la législation russe ne prévoient pas de refus de fournir un service « en rapport avec la politique intérieure et étrangère de l’État de localisation et de résidence des utilisateurs« , déclarent les plaignants. En mars 2022, Sony a suspendu les livraisons de jeux et d’appareils en Russie. Le jeu japonais a également fermé le PlayStation Store.

Cybersécurité, Mise à jour

40 000 informaticiens en moins, en Russie

2 septembre 2022 Damien Bancal

Pour le premier semestre 2022, environ 40 000 informaticiens ont quitté la Russie.

Un second effet à la guerre lancée par Vladimir Poutine, en Ukraine, les emplois spécialisés disparaissent. Après les craintes visant les mises à jour de logiciels, le blocage des smartphones sous Android et iOS, voici venir la nouvelle crainte high-tech sur le territoire Russe.

La Russie a perdu (ou va perdre) 40 000 informaticiens. Des employés de centres de développement d’entreprises étrangères, dont les maisons « mères » ont décidé de fermer leurs bureaux en Russie. Une second trimestre qui va faire de gros dégâts, la Russie n’étant pas capable de remplacer ces personnels partis.

La seconde fuite de cerveau est celle des entreprises russes qui travaillaient sur les marchés étrangers. Les informaticiens Russes vivant à l’étranger sont censés rentrer dans leur pays avant la fin de l’année.

Entreprise, Securite informatique

Smartphone en Russie, bientôt la fin du monde ?

1 septembre 2022 Damien Bancal

L’association des développeurs de produits high-tech russe s’inquiète d’une probable fin d’utilisation d’Android et iOS Apple en Russie.

La présidente de l’Association des développeurs de produits logiciels nationaux, Natalya Kasperskaya, vient de lancer une alerte qui fait résonnance pour les anciens consommateurs de produits Huawei, interdits par l’Oncle Sam.

Natalya s’inquiète des risques de déconnexion de tous les smartphones en Fédération de Russie sous Android et iOS (Apple).

De son côté, l’éditeur Russe de solutions de cybersécurité Kaspersky est convaincu que la probabilité d’un tel scénario doit être évaluée comme une cybermenace. Comme alternative aux smartphones, Kaspersky a suggéré d’utiliser un ordinateur portable, un téléphone d’ancienne génération (avec bouton à la NOKIA) ou, dans les cas extrêmes, le courrier ordinaire.

Cybersécurité, Entreprise, Facebook

Russie : des députés réclament le retour d’Instagram

18 août 2022 Damien Bancal

Des députés russes demandent la fin du blocage du réseau social Instagram afin d’aider les petites entreprises locales.

Des députés Russes ont demandé au bureau du procureur général de vérifier à nouveau le réseau social Instagram afin de stopper le blocage de ce dernier pour violations de la législation russe. Les politiques souhaitent le retour du réseau social, indispensable pour un grand nombre de petites entreprises russes.

Plus tôt, le vice-président de la Douma d’État, Vladislav Davankov, a déclaré que le blocage d’Instagram avait provoqué l’utilisation massive de « services VPN douteux » et entraîné une baisse des revenus des petites et moyennes entreprises. Selon Davankov, c’était le seul réseau social à servir aussi de plate-forme de vente.

Rappelons qu’en mars 2022, le tribunal Tverskoy de Moscou a reconnu la société Meta (Facebook) comme entreprise extrémiste et a interdit les réseaux sociaux Instagram et Facebook en Russie.

Cybersécurité, Mise à jour, Patch

Patch Tuesday – Août 2022

18 août 2022 Damien Bancal

Un mois d’août 2022 très chargé pour Microsoft avec 121 vulnérabilités dont 17 critiques corrigées.

En résumé ce mois, Microsoft a corrigé 121 vulnérabilités, dont 17 vulnérabilités classées Critiques, car facilitant une élévation de privilèges (EoP) et une exécution de code à distance (RCE). Correctifs disponibles pour 2 vulnérabilités Zero-Day, l’une étant activement exploitée lors d’attaques (CVE-2022-34713, CVE-2022-30134). Microsoft a également publié 20 mises à jour de sécurité pour Microsoft Edge (basé sur Chromium) afin de résoudre des vulnérabilités d’élévation de privilèges (EoP), d’exécution de code à distance (RCE) et de contournement de fonctions de sécurité, affichant une sévérité respectivement faible, modérée et importante.

Microsoft a corrigé plusieurs failles dans ses logiciels, y compris des vulnérabilités de déni de service (DoS), d’élévation de privilèges (EoP), de divulgation d’information, d’exécution de code à distance (RCE), de contournement des fonctions de sécurité et d’usurpation, ainsi que dans Microsoft Edge (basé sur Chromium).

De nombreuses vulnérabilités corrigées ce mois-ci sont associées à une exécution de code à distance, mais aucune exploitation active (en mode aveugle) n’est signalée, à l’exception de la CVE-2022-22047, une vulnérabilité d’élévation de privilèges dans le composant CSRSS de Windows.

Remarque : Les vulnérabilités dans Microsoft Edge sont présentes dans chacune des catégories : Élévation de privilèges / Faible, Exécution de code à distance / Modérée et Contournement de fonctions de sécurité / Importante

Principales vulnérabilités Microsoft corrigées

CVE-2022-34713 | Vulnérabilité d’exécution de code à distance dans l’outil de diagnostic du Support Windows (MSDT)

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,8/10.

En mai dernier, Microsoft a publié un article avec des recommandations pour une vulnérabilité dans l’outil MSDT et des mises à jour pour résoudre cette vulnérabilité. Cette vulnérabilité CVE est une variante connue publiquement sous le nom de Dogwalk.

Évaluation d’exploitabilité : Exploitation détectée

CVE-2022-30134 | Vulnérabilité de divulgation d’informations dans Microsoft Exchange

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,6/10.

Elle n’est exploitée que si l’utilisateur s’appuie sur une version affectée d’Exchange Server et accède à un serveur malveillant. L’attaquant doit au préalable avoir hébergé un serveur partagé ou un site Web malveillant. N’ayant aucun moyen de contraindre des utilisateurs de visiter ce serveur partagé ou ce site Web malveillant, l’attaquant devra convaincre ces derniers de se rendre sur le serveur partagé ou le site Web en question, généralement en les y invitant au moyen d’un message électronique ou dans le cadre d’une discussion en ligne.

Pour plus d’informations, reportez-vous à Exchange Server Support for Windows Extended Protection et/ou au blog sur Exchange.

Évaluation d’exploitabilité : Exploitation improbable

Corrections des vulnérabilités de contournement de fonctions de sécurité

Il existe des mises à jour de sécurité autonomes. Ces packages doivent être installés au dessus des mises à jour de sécurité classiques pour protéger pleinement contre cette vulnérabilité.

Cette actualisation exige une mise à jour de la pile de maintenance (SSU) pour des numéros KB spécifiques. Les packages ont une logique pré-requise intégrée qui garantit un certain ordre.

Les clients Microsoft doivent s’assurer d’avoir installé la toute dernière version de la mise à jour de la pile de maintenance avant d’installer ces mises à jour de sécurité autonomes. Pour plus d’informations, se reporter à ADV990001 | Latest Servicing Stack Updates .

Un attaquant parvenant à exploiter l’une de ces trois vulnérabilités pourrait contourner un Démarrage sécurisé.

CVE-2022-34301 | CERT/CC: CVE-2022-34301 – Contournement du chargeur de démarrage Eurosoft

Évaluation d’exploitabilité : Exploitation plus probable

CVE-2022-34302 | CERT/CC: CVE-2022-34302 – Contournement du chargeur de démarrage New Horizon Data Systems Inc.

Évaluation d’exploitabilité : Exploitation plus probable

CVE-2022-34303 | CERT/CC: CVE-20220-34303 – Contournement du chargeur de démarrage Crypto Pro

Évaluation d’exploitabilité : Exploitation plus probable

CVE-2022-35794, CVE-2022-35794 | Vulnérabilité d’exécution de code à distance dans le protocole SSTP (Secure Socket Tunneling Protocol) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,1/10.

Un attaquant non authentifié peut envoyer une requête de connexion malveillante à un serveur d’accès à distance (RAS), ce qui peut entraîner une exécution de code à distance sur la machine hébergeant le serveur RAS.

Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-30133, CVE-2022-35744 | Vulnérabilité d’exécution de code à distance dans le protocole PPP (Point-to-Point Protocol) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10.

Elle ne peut être exploitée qu’en communiquant via le port 1723. Une solution de contournement temporaire, avant d’installer les mises à jour corrigeant cette vulnérabilité, consiste à bloquer le trafic via ce port pour rendre la vulnérabilité inexploitable. Avertissement : Désactiver le Port 1723 peut affecter les communications sur votre réseau.

Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-34691 | Vulnérabilité d’élévation de privilèges sur les services de domaine Active Directory

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10.

Elle ne peut être exploitée qu’en communiquant via le port 1723. En guise de solution de contournement temporaire, un utilisateur authentifié peut manipuler des attributs sur des comptes informatiques qu’il possède ou administre et obtenir ainsi un certificat auprès des Services de certificats Active Directory, ce qui pourrait entraîner une élévation de privilèges au niveau Système.

Pour savoir comment protéger votre domaine, reportez-vous aux modifications de l’authentification à base de certificat sur les contrôleurs de domaine Windows.

Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-33646 | Vulnérabilité d’élévation de privilèges sur l’agent de nœud d’Azure Batch

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,0/10.

Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit préparer l’environnement ciblé pour améliorer la fiabilité de l’exploit.

Évaluation d’exploitabilité : Exploitation plus probable

(Par Debra M. Fezza Reed, Ingénieur de l’équipe Recherche sur les vulnérabilités et les menaces, Lab Qualys.)

backdoor, Cybersécurité

Piratage de l’administration fédérale de l’aviation US ?

18 août 2022 Damien Bancal

Un pirate informatique propose à la vente une base de données contenant les employés de l’administration fédérale de l’aviation US.

Le pirate est connu de la scène « leak » mondiale. Baptisé PS, ce blacknaute commercialise des dizaines de bases de données toutes aussi étonnantes les unes que les autres. Je n’en ferai pas la liste ici, mais la dernière en date a de quoi attirer l’œil.

Pour 250 euros « somme négociable« , le hacker propose la base de données des employés de l’administration fédérale de l’aviation américaine. « Un accès en direct » souligne-t-il tout en proposant un échantillon.

On y croise les identités, les numéros de téléphone, les adresses électroniques (@faa.gov), les adresses physiques, etc.

Le pirate a diffusé une capture écran, ci-dessous, affichant 79.757 personnes le 13 août 2022.

« L’accès en direct signifie que nous fournissons des informations d’identification à la base de données pour se connecter et vérifier la source et la date des données » explique ce vendeur.

Une seule copie, pour une seule vente.

Cybersécurité, Entreprise

Ransomwares : hausse de 42 % en France

17 août 2022 Damien Bancal

Un rapport sur les menaces pour le deuxième trimestre 2022 révèle une forte augmentation des attaques de ransomware dans le monde, soit 24 % de plus qu’au premier trimestre 2022. Parmi les cibles « faciles » des pirates, les cabinets d’architectures.

Forte augmentation des attaques par ransomware

Après des mois de déclin, les attaques mondiales de ransomware ont augmenté de manière significative au cours du 2ème trimestre 2022, soit une hausse de 24 % par rapport au trimestre précédent. Les plus fortes augmentations trimestrielles du ratio de risque de ransomware ont été enregistrées en Argentine (+56 %), au Royaume-Uni (+55 %), au Brésil (+50 %), en France (+42 %) et en Inde (+37 %).

« Les consommateurs, mais surtout les entreprises, doivent rester sur leurs gardes et se préparer à rencontrer des ransomwares, car cette menace n’est pas prête de disparaître« , explique Jakub Kroustek, directeur de la recherche sur les malwares chez Avast. « La baisse des attaques de ransomware que nous avons observée au quatrième trimestre de l’année 2021 et au premier trimestre de l’année 2022 était due à l’arrestation par les forces de l’ordre de membres de groupes de ransomware, ainsi qu’à la guerre en Ukraine, qui a également entraîné des désaccords au sein du groupe de ransomware Conti, interrompant leurs opérations. Les choses ont radicalement changé au deuxième trimestre 2022. Les membres de Conti ont maintenant bifurqué pour créer de nouveaux groupes de ransomware, comme Black Basta et Karakurt, ou peuvent rejoindre d’autres groupes existants, comme Hive, BlackCat ou Quantum, ce qui provoque un regain d’activité.«

Sur cette même période, pas moins de 291 fuites de données visant des cabinets d’architecture ont été référencées par le site spécialisé ZATAZ.

Autant dire que face à l’appétit grandissant des pirates, une assurance cyber sécurité n’est plus une option pour pouvoir se retourner en cas de cyber attaque et ne pas se retrouver avec une rupture de service.

Face aux ransomwares, l’assurance rassure et protège

Dès que l’on pense assurance, on pense remboursement, temps perdu avec l’expertise, etc. Mais une assurance, c’est avant tout prévoir et palier au pire. Elle permet d’anticiper les risques. Elle couvrira le danger, avant qu’il n’intervienne.

Voici quelques exemples des options que votre assurance cyber doit prendre en compte :

– Frais liés aux enquêtes techniques, aux experts informatiques, mais aussi aux potentiels frais administratifs : justice, etc. Une cyber attaque ransomware demandera de nombreuses recherches dont celle qui confirmera la non présence, cachée, des pirates et de leurs outils malveillants.

– Couverture en cas de pertes d’exploitation. Un ransomware imposera le blocage et la fermeture, le temps de l’enquête technique et administrative, de vos machines et outils de communication numériques.

– Restauration de vos données. La plupart du temps, après le colmatage de la porte d’entrée des pirates, une restauration des données permet de relancer les machines. – Conseils juridiques et d’experts.

– Être conforme face au Règlement Général de la Protection des Données (RGPD).

APT, Cybersécurité, Securite informatique

Macros bloquées par défaut

15 août 2022 Damien Bancal

Microsoft bloque désormais les macros VBA par défaut dans les applications Office.

Les macros sont un vecteur d’infection populaire depuis des décennies. Elles ont été utilisées par les menaces décrites dans le rapport sur les menaces du deuxième trimestre 2022, notamment les chevaux de Troie d’accès à distance comme Nerbian RAT, un nouveau RAT écrit en Go apparu au deuxième trimestre 2022, et par le groupe APT Confucius pour déposer d’autres logiciels malveillants sur les ordinateurs des victimes.

Nous avons déjà remarqué que les acteurs de la menace commencent à préparer des vecteurs d’infection alternatifs, maintenant que les macros sont bloquées par défaut. Par exemple, IcedID et Emotet ont déjà commencé à utiliser des fichiers LNK, des images ISO ou IMG, et d’autres astuces supportées par la plateforme Windows comme alternative aux maldocs pour diffuser leurs campagnes.

Microsoft était revenue sur ce blocage à la suite d’une série de gens pas contents. Début août, retour du blocage, définitivement.

backdoor, Cybersécurité

Exploits zero day

15 août 2022 Damien Bancal

Des chercheurs ont découvert deux nouveaux exploits zero day utilisés par le vendeur de logiciels espions islandais Candiru pour cibler, entre autres, des journalistes au Liban.

Le premier est un bogue dans WebRTC, qui a été exploité pour attaquer les utilisateurs de Google Chrome dans des attaques très ciblées de type « watering hole », mais qui a également affecté de nombreux autres navigateurs.

Un autre exploit a permis aux attaquants de s’échapper d’une sandbox dans laquelle ils avaient atterri après avoir exploité le premier zero-day. Le deuxième zéro day découvert par Avast a été exploité pour pénétrer dans le noyau de Windows.

Un autre zero-day décrit dans le dernier rapport en date d’AVAST est Follina, un bug d’exécution de code à distance dans Microsoft Office, qui a été largement exploité par des attaquants allant des cybercriminels aux groupes APT liés à la Russie et opérant en Ukraine.

Ce zero-day a également été exploité par Gadolinium/APT40, un groupe APT chinois connu, dans une attaque contre des cibles à Palau.

Cybersécurité, Entreprise, Mise à jour

70% des cyber-incidents dus à l’hameçonnage et aux vulnérabilités logicielles

30 juillet 2022 Damien Bancal

Un rapport sur la réponses aux incidents révèle les tendances et les implications futures et propose des recommandations basées sur les données recueillies au cours d’une année entière d’enquêtes. 7 cas sur 10 de cyber attaques dus à l’hameçonnage et aux vulnérabilités logicielles.

Selon un nouveau rapport de Palo Alto Networks, l’utilisation intensive des vulnérabilités logicielles est le reflet du comportement opportuniste des acteurs de la menace, qui écument l’Internet à la recherche de failles et de points faibles à exploiter. Le rapport 2022 des équipes de l’Unit 42 offre un très large éventail d’informations extraites du travail sur la réponse aux incidents. S’appuyant sur un échantillon de plus de 600 cas de réponse aux incidents étudiés, le rapport a pour but d’aider les RSSI et les équipes de sécurité à comprendre les principaux risques de sécurité auxquels ils sont confrontés, et à déterminer les domaines auxquels affecter en priorité des ressources pour limiter ces risques.

Dans ce rapport, les secteurs de la finance et de l’immobilier figuraient parmi ceux qui recevaient les montants moyens de demandes de rançon les plus élevés : en moyenne, environ 8 millions et 5,2 millions de dollars, respectivement. Dans l’ensemble, les ransomware et la compromission des emails professionnels (BEC) ont été les deux principaux types d’incidents que l’équipe de réponse aux incidents a dû gérer au cours des 12 derniers mois. Ils représentent environ 70 % des cas de réponse aux incidents.

« A l’heure actuelle, la cybercriminalité est une activité dans laquelle il est facile de se lancer, en raison de son faible coût et de sa rentabilité souvent élevée. Dans ce contexte, des acteurs de la menace novices et non qualifiés peuvent très bien se lancer grâce à des outils tels que le hacking-as-a-service (piratage en tant que service), qui connaissent une popularité grandissante et sont disponibles sur le dark web, explique Wendi Whitmore, responsable de l’Unit 42. Les auteurs des attaques par ransomware ont en outre perfectionné leur organisation, en proposant un service client et des enquêtes de satisfaction lorsqu’ils interagissent avec les cybercriminels et les organisations victimes. »

Ransomware

Le nom d’une nouvelle victime des ransomware est publié sur les sites de fuite toutes les quatre heures. Il est vital pour les entreprises d’identifier très tôt l’activité des ransomwares. En général, les acteurs des ransomwares ne sont découverts qu’après le chiffrement des fichiers, l’entreprise victime recevant alors une demande de paiement de rançon. L’Unit 42 a constaté que le temps d’infiltration médian – c’est-à-dire le temps que les acteurs de la menace passent dans l’environnement ciblé avant d’être détectés – observé pour les attaques par ransomware était de 28 jours. Les demandes de rançon ont atteint jusqu’à 30 millions de dollars et le montant record des paiements effectivement réalisés par les victimes est de 8 millions de dollars, soit une augmentation constante par rapport aux conclusions du rapport 2022 de l’Unit 42 sur les ransomware. De plus en plus souvent, les entreprises touchées peuvent également s’attendre à ce que les acteurs de la menace utilisent la double extorsion, en menaçant de diffuser publiquement leurs informations sensibles si elles refusent de payer la rançon.

BEC (Compromission des emails professionnels)

Les cybercriminels ont utilisé toute une variété de techniques pour compromettre les emails des entreprises dans le cadre de fraude par courrier et de fraude électronique. Les formes d’ingénierie sociale, telles que le hameçonnage, sont un moyen facile et rentable de se procurer un accès secret, avec un faible risque d’être détecté. Selon le rapport, dans de nombreux cas, les cybercriminels se contentent de demander à leurs cibles involontaires de leur communiquer leurs informations d’identification, ce qu’elles font. Une fois l’accès obtenu, la durée médiane d’infiltration des attaques de type BEC est de 38 jours, et le montant moyen dérobé est de 286 000 dollars.

Les secteurs touchés

Les attaquants ciblent les secteurs d’activité lucratifs. Néanmoins, de nombreux attaquants sont des opportunistes et scrutent tout simplement l’Internet à la recherche de systèmes leur permettant d’exploiter des vulnérabilités connues. L’Unit 42 a identifié les secteurs les plus touchés parmi ses cas de réponse aux incidents : finance, services professionnels et juridiques, fabrication, soins de santé, haute technologie, commerce de gros et de détail. Les organisations de ces secteurs stockent, transmettent et traitent de gros volumes d’informations sensibles et monnayables qui attirent les acteurs de la menace.

backdoor, cyberattaque

Des pirates s’infiltrent dans plusieurs stations de radio ukrainiennes

29 juillet 2022 Damien Bancal

La guerre de l’information n’est pas prête de s’arrêter entre hacktivistes Russes et hacktivistes Ukrainiens. Des pirates diffusent de faux messages via des radios ukrainiennes.

Les assaillants ont répandu la nouvelle indiquant la présence du président Vladimir Zelensky à l’hôpital, en soins intensifs. Plusieurs radios ont diffusé le message quelques minutes. « Le président Zelensky est dans un état très grave et ses fonctions sont exercées par le président de la Verkhovna Rada« .

Il s’est avéré que les « nouvelles » concernant l’état de santé grave de Zelensky étaient fausses. Les stations de radio ont par la suite démenti ces informations, citant des pirates anonymes qui ont piraté les ondes et répandu la désinformation.

En mars 2022, une fausse vidéo du président ukrainien avait été diffusée via une chaîne locale préalablement piratée. La deepfake annonçait la capitulation de l’Ukraine face à la Russie.

Cybersécurité, Espionnae

Faille dans Google Chrome utilisée par un logiciel espion pour smartphone

28 juillet 2022 Damien Bancal

Une vulnérabilité de type « zero-day » dans Google Chrome (CVE-2022-2294) découverte lorsqu’elle a été exploitée à l’encontre de journaliste basé au Moyen-Orient.

Le logiciel espion Candiru, provenant d’une entreprise Israélienne, aurait été diffusé à partir d’une faille exploitant le navigateur de Google, Chrome. C’est l’équipe Cyber d’Avast Threat Intelligence qui a découvert la cyber attaque au Liban. Des journalistes figuraient parmi les parties visées, et que d’autres cibles en Turquie, au Yémen et en Palestine.

Google a corrigée la faille le 4 juillet 2022.

Selon le fonctionnement du malware et des tactiques utilisées pour mener l’attaque, les chercheurs l’ont attribué au fournisseur de logiciels espions Candiru, basé à Tel Aviv et connu pour vendre des logiciels d’espionnage à des clients gouvernementaux. Lors de cette attaque, un profil du navigateur de la victime, composé d’environ 50 points de données, est collecté et envoyé aux attaquants. Les informations recueillies comprennent la langue de la victime, le fuseau horaire, les informations inscrites sur l’écran, le type d’appareil, les plugins de navigateur, le référent, la mémoire de l’appareil, la fonctionnalité des cookies, etc.

Si les données collectées correspondent à ce que les attaquants recherchent, l’opération de type « zero-day » est transmise à l’appareil de la victime via un canal crypté. Une fois que les attaquants sont entrés sur la machine, une charge malveillante connue sous le nom de DevilsTongue est envoyée pour tenter d’augmenter la portée du malware afin d’obtenir un accès complet à l’appareil de la victime.

DevilsTongue est un logiciel espion avancé, capable d’enregistrer la webcam et le microphone de la victime, d’enregistrer les touches, d’exfiltrer la messagerie de la victime, son historique de navigation, ses mots de passe, sa géolocalisation, et bien plus encore.

Au Liban, les attaquants semblent avoir compromis un site web utilisé par les employés d’une agence de presse. Nous ne pouvons pas dire avec certitude ce que les attaquants ont pu chercher, mais souvent, la raison pour laquelle les attaquants s’en prennent aux journalistes est de les espionner eux ainsi que les dossiers sur lesquels ils travaillent directement, ou d’atteindre leurs sources et de recueillir des informations compromettantes et des données sensibles qu’ils ont partagées avec la presse. Une attaque comme celle-ci pourrait constituer une menace pour la liberté de la presse.

Google ayant rapidement corrigé la vulnérabilité le 4 juillet, les utilisateurs de Chrome doivent simplement cliquer sur le bouton lorsque le navigateur les invite à « redémarrer pour terminer l’application de la mise à jour. La même procédure doit être suivie par les utilisateurs de la plupart des autres navigateurs basés sur Chromium, y compris Avast Secure Browser. Les utilisateurs de Safari doivent passer à la version 15.6.

Cybersécurité, Entreprise

Outil open-source pour corréler les activités suspectes

28 juillet 2022 Damien Bancal

Detectree, un nouvel outil open-source pour corréler les activités suspectes en cas de cyberattaque.

En cas de cyberincident, chaque minute compte. Il faut agir vite pour circonscrire l’attaque et minimiser les dommages. Pourtant, de nombreuses entreprises éprouvent encore des difficultés à délimiter les activités malveillantes et à évaluer leur impact.

Un nouvel outil open-source vient changer la donne : Detectree. Detectree a été conçu pour augmenter la visibilité sur les activités suspectes détectées. Développé par WithSecure™ (anciennement F-Secure Business), cet outil répond aux besoins des équipes de cyberdéfense (également appelées équipes bleues / Blue team).

Il est essentiel de pouvoir établir des corrélations entre les différents événements suspects enregistrés sur un endpoint. La visibilité est toujours une priorité, mais elle devient un impératif vital en cas d’incident. Une attaque est une course contre la montre. Plus vous avez besoin de temps pour établir des corrélations entre les différentes données enregistrées, plus vous tardez à remédier au problème. Face à une attaque, ce temps perdu est un véritable gaspillage.

Par exemple, lorsqu’un analyste recherche la cause d’un processus suspect, il doit généralement examiner les données des logs et reconstituer manuellement la chaîne des événements. Plus la chaîne est longue, plus elle devient difficile à analyser. Or, dans les grandes entreprises, les Blue Teams peuvent être confrontées à des volumes d’alertes colossaux : environ 11 000 par jour selon une récente étude*. Ces équipes peuvent donc facilement se retrouver submergées.

Detectree a été conçu pour simplifier le travail d’investigation en structurant les données des logs. Cet outil met en évidence les relations entre l’activité suspecte détectée et tous les processus, destinations réseau, fichiers et clés de registre liés à cette activité. Plutôt que de trier manuellement les données représentées sous forme de texte pour reconstituer la chaîne d’événements, les équipes peuvent observer directement les corrélations, ainsi que la nature de ces dernières. (Interactions, relations parent-enfant, injections de processus).

En s’appuyant sur la visualisation, les équipes peuvent rapidement cerner le contexte propre à une détection, et partager ces données avec les parties concernées de manière simple et intuitive. Elles ont ainsi la certitude que ces informations seront accessibles à tous ceux qui en ont besoin.

Même les Blue Teams les plus expérimentées et les plus compétentes ont besoin d’outils performants pour travailler efficacement. Certaines tâches sont complexes et particulièrement chronophages pour les équipes de sécurité. Detectree est un outil simple, qui apporte une réponse à ces problèmes.

cyberattaque, Cybersécurité

Piratage de la police de Shanghai

23 juillet 2022 Damien Bancal

Des pirates affirment avoir volé les données personnelles de plus d’un milliard de personnes domiciliées en Chine suite au piratage d’une base de données de la police de Shanghai. Possible ?

Lors d’une fuite de données de cette ampleur il est pratiquement impossible de vérifier la véracité de chaque entrée. Toutefois, sur la base d’un échantillon de données, les premiers rapports indiquent que la fuite est plutôt crédible. On ne sait toujours pas si les données proviennent d’une seule base de données, de bases de données liées ou de bases de données sans rapport entre elles, ce qui signifie que le nombre de citoyens concernés pourrait bien être inférieur au nombre de données communiquées.

Le prix relativement faible proposé par les pirates pourrait sembler significatif, sauf que de nombreux pirates, depuis le lancement de la guerre lancée par la Russie à l’encontre de son voisin l’Ukraine, fait ressortir des fuites et des failles gardées secrètes depuis des semaines, certaines mêmes depuis des mois. Les pirates ont besoin de liquidité. Les Sécurité du système d’information (SI) non maitrisés deviennent de vraies mines d’or pour les pirates !

Les données sont proposées pour 10 bitcoins (200 000 dollars), ce qui laisse penser que le pirate cherche peut-être à vendre les données à plusieurs acheteurs et donc de manière non exclusive. Certains pirates que j’ai pu rencontrer me disaient « nous préférons vendre à un petit montant 10 fois aujourd’hui, qu’espérer une grosse somme demain« . Effectivement, 10 fois 200 000 aujourd’hui et mieux qu’espérer tomber sur le bon acheteur à 2 millions demain !

« La valeur des données personnelles varie également d’un citoyen à l’autre, en grande partie en fonction de la possibilité de monétiser les données par le biais de l’usurpation d’identité ou de fraude, les nations occidentales telles que le Royaume-Uni et les États-Unis exigeant généralement un prix plus élevé. » explique Toby Lewis, Global Head of Threat Analysis de Dartrace.

Il est intéressant de noter que les organes de censure chinois s’empressent de mettre fin à toute discussion sur cette fuite qui pourrait discréditer le gouvernement, dans la mesure où ce dernier est considéré comme la source présumée de la fuite. Cela peut être une indication de la véracité de l’affirmation, mais il peut s’agir simplement d’une tentative d’étouffer des rumeurs potentiellement dommageables.

cyberattaque, Cybersécurité, Mise à jour

Patch Tuesday Juillet 2022

20 juillet 2022 Damien Bancal

Microsoft corrige 84 vulnérabilités dont 4 critiques, ainsi que 2 concernant Microsoft Edge (basé sur Chromium). Adobe publie 4 avis de sécurité et corrige 27 vulnérabilités dont 18 critiques.

Microsoft a corrigé en ce mois de juillet 2022 pas moins de 84 vulnérabilités. Quatre sont classées comme critiques car facilitant une exécution de code à distance (RCE).

La mise à jour cumulative de Windows dans le cadre du Patch Tuesday de ce mois comprend le correctif pour une vulnérabilité Zero-Day (CVE-2022-22047) activement exploitée. Le 06 juillet 2022, Microsoft a également publié deux mises à jour de sécurité pour Microsoft Edge (sur Chromium) .

Microsoft a corrigé plusieurs failles dans ses logiciels, y compris des vulnérabilités de déni de service (DoS), d’élévation de privilèges, de divulgation d’informations, d’exécution de code à distance (RCE), de contournement des fonctions de sécurité et de falsification ainsi que dans Microsoft Edge (sur Chromium).

Classement des vulnérabilités corrigées par Microsoft en juillet 2022

Déni de Service	5	Importante	5
Élévation de privilèges	50	Importante	50
Divulgation d’informations	11	Importante	11
Microsoft Edge (basé sur Chromium)	2	N/A	2
Exécution de code à distance	12	Critique	4
		Importante	8
Contournement des fonctions de sécurité	4	Importante	4
Falsification	2	Importante	2

CVE-2022-22047 Vulnérabilité d’élévation de privilèges dans le composant CSRSS Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,8/10. Élévation de privilèges – Important – L’attaquant qui parvient à exploiter cette vulnérabilité peut obtenir des privilèges SYSTEM (Article 5015874). Évaluation d’exploitabilité : Exploitation détectée

Zoom sur les vulnérabilités Microsoft critiques et importantes

L’avis de sécurité du mois concerne de nombreuses familles de produits Microsoft, dont Azure, le navigateur, les mises à jour de sécurité étendue (ESU), Microsoft Dynamics, Microsoft Office, System Center et Windows. Au total 63 produits/versions Microsoft sont concernés. Les téléchargements concernent Monthly Rollup (Déploiement mensuel), Security Only (Sécurité uniquement) et Security Update (Mise à jour de sécurité).

CVE-2022-30221 | Vulnérabilité d’exécution de code à distance dans le composant graphique de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Pour l’exploiter, l’attaquant doit d’abord convaincre l’utilisateur ciblé de se connecter à un serveur RDP malveillant. Au moment de la connexion, le serveur malveillant exécutera du code sur le système de l’utilisateur ciblé. Seuls Windows 7 Service Pack 1 et Windows Server 2008 R2 Service Pack 1 sont affectés par cette vulnérabilité si RDP 8.0 ou RDP 8.1 est installé. Si aucune de ces deux versions de RDP n’est installée sur Windows 7 SP1 ou Windows Server 2008 R2 SP1, vous n’êtes pas concernés par cette vulnérabilité. Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-22029 | Vulnérabilité d’exécution de code à distance dans le système de fichiers réseau (NFS) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,1/10. Cette vulnérabilité peut être exploitée sur le réseau en lançant un appel malveillant et non authentifié auprès d’un service NFS pour déclencher une exécution de code à distance (RCE). Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit s’investir dans des tentatives d’exploitation répétées dans le temps en envoyant des données en mode permanent ou intermittent. Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-22038 | Vulnérabilité d’exécution de code à distance au niveau du runtime d’appel de procédure à distance (RPC)

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,1/10. Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit s’investir dans des tentatives d’exploitation répétées dans le temps en envoyant des données de manière permanente ou intermittente. Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-22039 | Vulnérabilité d’exécution de code à distance dans le système de fichiers réseau (NFS) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,5/10. Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit gagner une situation de course. Cette vulnérabilité peut être exploitée sur le réseau en lançant un appel malveillant et non authentifié auprès d’un service NFS pour déclencher une exécution de code à distance (RCE). Évaluation d’exploitabilité : Exploitation moins probable

Autres vulnérabilités Microsoft majeures

Début juillet, Microsoft a publié des correctifs pour les vulnérabilités CVE-2022-2294 et CVE-2022-2295 dans Microsoft Edge (sur Chromium). La vulnérabilité attribuée à chacune de ces CVE est présente dans le logiciel Open Source (OSS) Chromium utilisé par Microsoft Edge. Elle est décrite dans le guide des mises à jour de sécurité pour signaler que la toute dernière version de Microsoft Edge (sur Chromium) n’est plus vulnérable. Pour plus d’information cf Security Update Guide Supports CVEs Assigned by Industry Partners

cyberattaque, Cybersécurité

Les pirates russes APT29 utilisent les services de stockage en ligne, DropBox et Google Drive

20 juillet 2022 Damien Bancal

Dans le monde entier, des entreprises font confiance à des services de stockage tels que DropBox et Google Drive pour leurs opérations quotidiennes. Cette confiance est pourtant mise à mal par des acteurs malveillants qui, comme le montrent les dernières recherches, redoublent d’ingéniosité pour exploiter la situation au profit d’attaques extrêmement difficiles à détecter et à prévenir.

Les dernières campagnes orchestrées au moyen d’une menace persistante avancée (APT), que l’Unit 42 connait et suit sous le nom de Cloaked Ursa (également appelée APT29, Nobelium ou Cozy Bear) ont donné à voir un niveau de sophistication inédit ainsi que des capacités à s’immiscer rapidement dans des services populaires de stockage sur le cloud afin d’échapper à la détection.

Ce groupe n’en est d’ailleurs pas à son coup d’essai dans le détournement de services cloud légitimes et fiables. Au fil de leurs recherches, les spécialistes ont découvert que leurs deux campagnes les plus récentes exploitaient pour la première fois les services de stockage Google Drive.

La réplication des données opérée sur le cloud Google Drive, à laquelle s’ajoute la confiance de millions de clients à travers le monde, rend les opérations de ce malware particulièrement inquiétantes. En effet, lorsque l’utilisation de services fiables est associée au chiffrement, comme c’est le cas ici, il devient bien plus difficile pour les entreprises de détecter les activités malveillantes en lien avec la campagne.

Cloaked Ursa

Depuis longtemps, le secteur de la cybersécurité considère la menace Cloaked Ursa comme affiliée au gouvernement russe. Ce lien expliquerait notamment la mission historique du groupe, qui remonte aux campagnes de malware lancées en 2008 contre la Tchétchénie et d’anciens pays du bloc soviétique. Un autre des faits d’armes plus récents attribués au groupe est le piratage du Comité national démocrate (DNC) des États-Unis, en 2016, de même que la cyberattaque SolarWinds de 2020 qui a compromis toute une chaîne d’approvisionnement.

Plus précis quant à l’identification des auteurs de l’attaque, les États-Unis comme le Royaume-Uni ont publiquement pointé du doigt le Service des renseignements extérieurs de la Fédération de Russie (SVR), c’est-à-dire les activités d’espionnage. Les dernières campagnes de cet acteur ont servi à faire croire qu’un rendez-vous se préparait avec un ambassadeur. L’Unit 42 pense que ces campagnes ciblaient des missions diplomatiques occidentales qui se sont déroulées entre mai et juin 2022. Les leurres inclus dans ces campagnes suggèrent qu’une ambassade étrangère au Portugal, ainsi qu’une ambassade étrangère au Brésil, ont été prises pour cible. Dans les deux cas, les documents de phishing contenaient un fichier HTML malveillant (EnvyScout) utilisé pour entreposer d’autres fichiers similaires dans le réseau ciblé, notamment un payload Cobalt Strike.

Cybersécurité

Quelles sont les cybermenaces les plus courantes pour les environnements industriels ?

23 juin 2022 Damien Bancal

Face à la prolifération des cybermenaces, aucune entreprise n’est à l’abri, indépendamment de sa taille et de son domaine d’activité. Si les secteurs numériques, tels que le commerce électronique, ont longtemps constitué des cibles privilégiées, le monde de l’industrie est à son tour dans le collimateur des criminels.

L’une des principales raisons réside dans l’obsolescence ou la faiblesse de processus de cybersécurité qui n’ont été pas renforcés, voire mis à jour depuis longtemps. Il n’est pas rare que les systèmes en place continuent d’utiliser les mêmes protocoles de sécurité que lors de leur lancement, de sorte que les attaques peuvent rapidement et facilement interférer avec les opérations. On croit à tort que les cyberattaques sont de plus en plus sophistiquées ou complexes ; en réalité, les criminels s’appuient sur des tactiques bien établies et recherchent les opportunités les plus évidentes et les plus rapidement accessibles.

Pour renforcer leur posture de sécurité, les dirigeants doivent donner la priorité à leurs systèmes de cybersécurité et, avant toute chose, savoir où se trouvent les menaces les plus courantes au sein de leur entreprise.

Protéger les processus stratégiques

En matière de cybersécurité, les criminels sont plus véloces que les entreprises. Les criminels ne se contentent généralement pas de provoquer des perturbations temporaires ; ils attaquent là où ils savent que les dommages seront les plus importants, à savoir les processus essentiels au bon fonctionnement de l’entreprise.

Lorsqu’ils sont parvenus à toucher ces processus stratégiques, les hackers peuvent déclencher une réaction en chaîne à de nombreux autres niveaux de l’entreprise, notamment logistique, amplifiant ainsi la portée de leur attaque.

Prenons l’exemple de l’industrie des hydrocarbures : une attaque conçue pour mettre hors service un serveur qui contrôle des pompes à pétrole peut entraîner un arrêt immédiat de la production. En ciblant le cœur de son modèle industriel, cette agression paralyse littéralement le bon fonctionnement de l’entreprise.

Protéger les employés

Dans le monde moderne où nombre d’entreprises fonctionnent selon une approche fragmentée, les cybercriminels disposent de multiples points d’entrée pour lancer leurs offensives. Généralement peu sophistiquées ni même ciblées, ces attaques ont plutôt tendance à « ratisser » aussi largement que possible avant de se focaliser sur un individu ou un objectif spécifique. Le plus souvent, une erreur commise de façon involontaire par un employé ou un équipement non protégé constitue la meilleure porte d’entrée.

Des techniques éprouvées, telles que l’hameçonnage, sont encore abondamment utilisées, car il suffit aux cybercriminels de déterminer le « maillon faible » et de l’attaquer rapidement. Dans de nombreux cas, il s’agira d’un employé qui clique sans réfléchir sur un lien dans un courriel, ou qui utilise à domicile un ordinateur non sécurisé. Ces tentatives se révèlent peu risquées et peu coûteuses pour les attaquants, lesquels peuvent lancer des attaques d’ampleur quasi illimitée dans le monde entier.

En deux mots, pour protéger une entreprise, il est essentiel de bien protéger ses employés. L’une des bonnes pratiques consiste à encourager les collaborateurs à observer des mesures de sécurité élémentaires et à les former régulièrement à l’hygiène numérique. En dépit de leur simplicité évidente, ces initiatives de façon significative contribuent à limiter les risques de cyberattaque.

Protéger le service informatique

Plus une entreprise s’en remet à la technologie, plus la surface d’attaque à protéger sera étendue. L’intégration de nouveaux logiciels ou de nouveaux équipements au sein des processus stratégiques doit s’accompagner d’une réflexion en amont afin de protéger au mieux la technologie. Les entreprises qui adoptent de nouveaux systèmes sans prendre la peine de les sécuriser correctement offrent des opportunités en or aux cybercriminels.

En fait, compte tenu de leur dépendance croissante vis-à-vis des processus numériques, les entreprises doivent traiter les risques numériques de la même façon que les risques juridiques. Toutes les entreprises mesurent les menaces juridiques auxquelles elles sont exposées, et c’est pour éviter tout problème de cet ordre qu’elles se reposent sur des experts en droit. Un état d’esprit similaire doit animer l’approche de la cybersécurité.

Aucune entreprise ne signera un partenariat, un accord de fusion, ni même un contrat standard sans l’avoir soumis à un avocat, et c’est exactement ce qui doit se passer avec les nouvelles technologies. Pour limiter les risques de cyberattaque, les entreprises doivent prendre contact avec des experts et des professionnels de la cybersécurité avant d’adopter une nouvelle technologie, comme ils solliciteraient leurs avocats avant de parapher un nouveau contrat. Cette approche doit s’inscrire au cœur de la culture des entreprises afin de renforcer leur hygiène numérique.

Compliquer la tâche des pirates

Une cybersécurité efficace repose sur un concept a priori simple : faire en sorte qu’il soit incroyablement difficile et coûteux pour les cybercriminels de tenter une attaque.

Le simple fait d’intégrer d’emblée une approche renforcée de la sécurité dans les systèmes informatiques a un effet dissuasif important.

Afficher une certaine forme de visibilité et des capacités de détection, tout en accélérant la réactivité aux menaces constitue à cet égard un bon point de départ. Il convient dans cette optique de déployer de façon précoce des solutions de cybersécurité efficaces, avant de les améliorer de manière dynamique et continue. Un plan d’action élémentaire mis en place rapidement et actualisé régulièrement exercera un effet nettement plus dissuasif sur les agresseurs potentiels que vous l’imaginez à première vue. (Par Eduardo Di Monte, Cybersecurity Portfolio Strategic Growth Leader Rockwell Automation)

Chiffrement, Cybersécurité

Ransomware : la rançon moyenne est de 925 162 dollars

23 juin 2022 Damien Bancal

Le montant moyen des paiements de rançons suit à une cyberattaque approche rapidement le million de dollars alors que la crise des rançongiciels continue de faire des ravages dans les organisations de toutes tailles à travers le monde.

Les rançons ne cessent d’augmenter à la fois en ce qui concerne les demandes que les paiements. Parmi les cas de réponse aux incidents en 2021, qui se trouvaient principalement aux États-Unis, la rançon moyenne demandée était d’environ 2,2 millions de dollars. Cela représente une augmentation d’environ 144 % par rapport à la demande moyenne de 900 000 $ des cas traités en 2020 par les consultants de l’Unit 42. Le paiement moyen des dossiers traités par les experts de l’Unit 42 ont grimpé à 541 010 $, soit 78 % de plus que l’année précédente.

Il semble que personne ne soit à l’abri des attaques de ransomwares comme le montre le blog ZATAZ. Les organisations dans presque tous les pays et secteurs ont été ciblées en 2021. L’analyse des sites de fuite de ransomwares a identifié la région des Amériques comme la plus touchée – 60 % des victimes recensées sont identifiés dans cette région, tandis que 31 % des victimes sont attribuées à l’Europe, au Moyen-Orient et à l’Afrique (EMEA) et 9% à l’Asie-Pacifique. Les services professionnels et juridiques, suivis de la construction, ont été les secteurs les plus ciblés, avec respectivement 1 100 et 600 victimes recensées sur les sites de fuite.

Les effets à long terme d’une attaque par rançongiciel peuvent représenter un défi pour les organisations. Parmi les entreprises touchées par les ransomwares, une majorité (58 %) des décideurs informatiques déclarent que leur l’organisation a payé la rançon, 14 % déclarant que leur organisation a payé plus d’une fois. Sans parler de celle qui ne souhaite pas que cela se sache et son prêt à menacer les lanceurs d’alertes.

Courriel reçu !

Pas de lanceur d'alerte, pas d'alerte ; Pas d'alerte, pas de problème.

A noter que les données sont dans les mains des pirates depuis début juin! #cybersecurity #computerscience #cybercrime #bhfyp @zataz #informatique #news #BreakingNews #actualites @CNIL pic.twitter.com/8autnjA7Ul

— Damien Bancal o/ (@Damien_Bancal) June 16, 2022

Le rapport indique que, bien que 41 % des entreprises touchées par une attaque par ransomware aient pu récupérer en moins d’un mois, 58% ont pris plus d’un mois. 29% des entreprises interrogées attaquées par des ransomwares ont pris plus de trois mois, et 9 % ont dit qu’il leur a fallu plus de cinq à six mois pour revenir à la normale.

Les tactiques employées par ces cybercriminels reflètent la sophistication croissante et maturité du paysage des rançongiciels.

Multi-extorsion en hausse

Techniques de multi-extorsion où non seulement les attaquants chiffrent les dossiers d’une organisation, mais pratiquent aussi le « name and shame » (chantage aux victimes et/ou menacer de lancer d’autres attaques (par exemple, l’attaque DDoS) pour inciter les victimes à payer plus rapidement. En 2021, les noms et preuve de compromis pour 2 566 victimes ont été affichés publiquement sur sites de fuite de ransomware, marquant une augmentation de 85% par rapport à 2020.

La prolifération des RaaS (Ransomware as a Services) avec la mise à disposition de « kits » et services de soutien aux cybercriminels qui réduisent leurs barrières techniques et leur permettent d’accélérer et multiplier leurs attaques.

Les principaux gangs de rançongiciels ont rapidement exploité la vulnérabilité CVE-2021-44228, communément appelée Log4Shell.

Il est fort probable que tant que les organisations ne parviendront pas à appliquer les correctifs connus pour ces vulnérabilités critiques, les attaquants continueront à les exploiter à leur avantage.

cyberattaque, Cybersécurité

Penser comme un attaquant pour contrer les nouvelles attaques DDoS

23 juin 2022 Damien Bancal

Le télétravail a considérablement changé les modes de fonctionnement en entreprise. En effet, selon l’Insee, 22 % des salariés français télétravaillent au moins une fois par semaine. Cette pratique élargit les modes de communications entre collaborateurs, rendant les environnements numériques de travail accessibles depuis n’importe quel appareil connecté, professionnel comme personnel. Cette accessibilité augmente la surface d’attaque et donc les possibilités de corruption des cybercriminels. Ces derniers s’appuient en effet désormais sur cette informatique de périphérie pour s’immiscer insidieusement dans les réseaux, soulignant ainsi la nécessité d’adapter les approches de protection des réseaux à ces nouvelles pratiques.

La part importante des salariés en télétravail nécessite des ajustements que l’informatique de périphérie est capable d’offrir. En revanche, cette dernière présente de nouvelles failles que les cybercriminels exploitent déjà dans les attaques par déni de service distribué (DDoS) : « L’adoption d’une architecture de périphérie – edge computing – qui rapproche le traitement et le stockage des données de leur source, permet entre autres aux entreprises d’accroître les performances de leur réseau, tout en réduisant la nécessité de renvoyer les données recueillies à la périphérie du réseau vers un datacenter. Ainsi, plus de la moitié des entreprises seraient susceptibles d’y recourir pour au moins six cas d’utilisation, d’ici fin 2023. Toutefois, si les entreprises se tournent de plus en plus vers la périphérie, les cyberattaquants s’y intéressent également de très près afin d’adapter leurs modes d’attaques aux pratiques en place. » explique Philippe Alcoy, de chez NETSCOUT

Par ailleurs, outre la lutte contre les attaques par déni de service distribué (DDoS) à la périphérie, il est également essentiel d’accorder une attention particulière aux attaques DDoS plus granulaires au niveau des applications, cibles de choix pour les cybercriminels qui peuvent bloquer les activités des utilisateurs par ce biais.

Il existe trois types d’attaques DDoS courantes de la couche applicative communément utilisées par les acteurs malveillants : Slowloris, Slow Post et les attaques par épuisement des tables d’état TCP.

Tout d’abord, Slowloris, une attaque de la couche applicative qui utilise des requêtes HTTP partielles pour ouvrir des connexions entre un seul ordinateur et un serveur web ciblé. Son objectif est de garder ces connexions ouvertes le plus longtemps possible afin de submerger et de ralentir la cible. Ensuite, avec l’attaque de type Slow Post, le cybercriminel envoie des en-têtes HTTP Post légitimes à un serveur web. Dans les en-têtes, les tailles du corps du message qui suivra sont correctement spécifiées. Cependant, le corps du message est envoyé à une vitesse très lente, avec pour but de ralentir le serveur. Enfin, les attaques par épuisement des tables d’état TCP cherchent à consommer les tables d’état de connexion présentes dans de nombreux composants d’infrastructure tels que les répartiteurs de charge, les pares-feux et les serveurs d’application eux-mêmes. Ces attaques peuvent même détruire des dispositifs de grande capacité permettant de maintenir l’état de millions de connexions.

Les attaques par déni de service distribué sont de plus en plus courantes et sophistiquées, surtout depuis les changements amenés par le travail en distanciel. Les réseaux, encore soumis à des zones d’ombres – en raison des multiples appareils, applications, accès et utilisateurs humains et machines qui y circulent – sont sujets à toujours plus de vulnérabilités. C’est pourquoi les équipes IT doivent rivaliser de précision et de réactivité afin de protéger au mieux la périphérie du réseau et ainsi garantir la disponibilité des applications critiques pour l’entreprise ; de même que les cybercriminels continuent de chercher à garder une longueur d’avance sur les entreprises, pour en dérober les informations et bloquer les accès, ces dernières doivent penser comme des attaquants et partir du principe qu’à chaque changement ou nouveauté, elles seront probablement ciblées. En anticipant ces potentielles attaques, elles seront ainsi plus à même de les contrer.

Cybersécurité, Mise à jour, Patch, Wordpress

WordPress force la mise à jour en corrigeant une faille critique

23 juin 2022 Damien Bancal

Il y a quelques jours, le géant de l’Internet WordPress imposait une mise à jour d’un plugin populaire Ninja Forms. Une action salvatrice qui pose cependant question.

Le populaire plugin WordPress Ninja Forms souffrait, il y a encore quelques jours, d’une vulnérabilité critique. Une faille activement utilisée par les pirates informatiques.

Cet exploit malveillant permettait d’injecter du code arbitraire dans un site. L’espace web ainsi piégé pouvait permettre l’infiltration des machines des visiteurs, etc.

La vulnérabilité a été corrigée dans sa version 3.6.11.

Jusqu’ici, rien de bien nouveau ? Une faille et sa correction rapide.

Mais ce n’est pas la chose la plus intéressante et/ou inquiétante. Cette mise à jour forcée pour tous les utilisateurs montre aussi que WordPress aura été capable de prendre la main sur plus de 730 000 sites sans l’accord des administrateurs.

Et ce n’est pas la première fois. La faille d’un autre plugin, celui d’UpdraftPlus, avait été corrigée de la même façon avec l’injection du code corrigé sans l’accord des webmasters.

La question est de savoir maintenant s’il faut faire confiance dans un système qui, à tout moment, peut forcer des modifications et déployer du code dans des centaines de milliers de sites web de part le monde ?

A noter que j’ai repéré, dans un espace du darknet, une vente d’un 0day concernant un exploit pirate visant WordPress 5.9.0. « Cet exploit python permet l’exécution de code à distance, fonctionne avec les installations par défaut et ne devrait pas nécessiter d’authentification ou d’interaction avec l’utilisateur. » explique le pirate. Mise à prix de ce tour de passe-passe : 0.35 BTC. Un peu plus de 6 600 euros au moment de l’écriture de cet article.

Bitcoin, Cybersécurité, nft

Cryptomonnaie : êtes-vous prêts pour vous faire arnaquer ?

23 juin 2022 Damien Bancal

Les escrocs sur la toile sont légion et font preuve de créativité pour tirer parti de l’engouement pour les jetons non fongibles (NFT) et les cryptomonnaies. Analysé de vols de NFT et cryptomonnaies via des comptes Twitter piratés.

Des escrocs spécialisés dans les cryptomonnaies mentionnent les utilisateurs dans les réponses de centaines de tweets afin de les conduire vers des sites de phishing. Ces derniers ressemblent aux sites légitimes des projets NFT, ce qui les rend difficile à distinguer par l’amateur moyen de cryptomonnaies. Plutôt que les noms d’utilisateur et les mots de passe traditionnels, les utilisateurs sont amenés à connecter leurs portefeuilles de cryptomonnaie. Ce faisant, les escrocs sont en mesure de transférer les cryptomonnaies comme l’Ethereum ($ETH) ou le Solana ($SOL), ainsi que tous les NFT détenus dans ces portefeuilles.

Les Airdrops et les NFT gratuits favorisent les arnaques aux cryptomonnaies

Airdrop est utilisé en tant qu’activité promotionnelle pour faciliter le démarrage d’un projet de cryptomonnaie. Le Bored Ape Yacht Club (BAYC) a annoncé au début de l’année un airdrop d’ApeCoin aux détenteurs de ses différents projets NFT tels que BAYC, Mutant Ape Yacht Club et Bored Ape Kennel Club. Les escrocs ont vu en cette annonce l’opportunité de tirer parti de l’intérêt suscité par cet Airdrop à venir et ont commencé à créer des campagnes en détournant des comptes Twitter vérifiés pour conduire les utilisateurs vers des sites de phishing.

Les escrocs mettent en garde contre les escrocs pour ajouter de la légitimité aux tweets

Les escrocs peuvent également apparaître comme de bons samaritains en invoquant la menace d’escrocs potentiels pour justifier le fait qu’ils « nettoient » ou « ferment » les commentaires ou les réponses à leurs tweets. Une fois qu’ils ont semé quelques-uns de ces faux tweets, ils tirent parti d’une fonction Twitter intégrée aux conversations qui permet de limiter les personnes qui peuvent répondre à leurs tweets, ce qui empêche les utilisateurs d’avertir les autres de la fraude potentielle qui les attend.

En France, les arnaques liées aux cryptomonnaies ont augmenté. Selon le médiateur de l’Autorité des Marchés Financiers (AMF), les cryptomonnaies seraient liées à un quart des arnaques signalées en 2021, contre 6 % l’année précédente. L’organisme précise avoir reçu 78 dossiers, présentant un préjudice allant de 169 euros à 337.000 euros. (Satnam Narang, Staff Research Engineer – Tenable)

cyberattaque, Mise à jour, Securite informatique

Managed Detection & Response pour entreprise

28 mai 2022 Damien Bancal

L’entreprise F-Secure, nouvellement baptisée WithSecure, renforce les solutions cybersécurité à destination des entreprises hexagonales. Rencontre avec Benoit Meulin, consultant. Depuis maintenant 2 années chez WithSecure, après de nombreuses années passées dans la cyber, il a en charge du portfolio de la BU Solution créé, cette année, par le spécialiste des solutions de protection numérique.

Les besoins pour protéger les entreprises se sont accentués ?

Ces besoins sont en constante évolution et la pression ne cesse d’augmenter sur les entreprises. L’accélération est très importante. Nous avons fait le choix de mettre en place une organisation spécifique afin de suivre cette accélération et toujours mieux protéger nos clients.

WithSecure propose de nouveaux services. Pouvez-vous nous les présenter ?

Nous disposions d’une offre de Managed Detection & Response (MDR) bien implantée en France qui s’appelle COUNTERCEPT. Nous avons décidé de soutenir cette offre de protection par une offre de gestion de la surface d’attaque (EASM : Enterprise Attack Surface Management) qui permet aux clients de mieux appréhender et maîtriser leur surface d’attaque externe et donc de la réduire. Nous proposons également dans le prolongement de ces offres des accompagnements à la préparation des incidents cyber ainsi que des services d’Incident Response.

Quelles seraient les priorités à mettre en place, pour une entreprise souhaitant prendre à bras-le-corps sa cybersécurité ?

Il me semble que la première marche à passer est celle du choix d’un partenaire pour accompagner ce gain en maturité. Commencer par la mise en place d’un MDR permet d’acheter du temps et de la sérénité pour démarrer des chantiers plus structurant autour des aspects de gouvernance et gestion de risque, qui sont les piliers d’une démarche efficace et qui permet à terme de faire les bons choix stratégiques. Je le dis souvent mais mon client idéal est celui qui trois années après avoir souscrit à notre offre MDR nous dit qu’il n’a plus besoin de nous car il est à un niveau de maturité suffisant pour assurer sa propre défense.

Que faut-il craindre, demain, des pirates ?

Nous avons en face de nous une R&D motivée par des sujets aussi bien géopolitiques que financiers. Ces innovations couvrent bien des domaines, de la technique à la stratégie. Nous avons vu évoluer les approches des cybercriminels pour augmenter leurs chances de gain financier lors des attaques, par de la méthode et de la technologie : voler de la donnée (commerciale, R&D etc…) avant de la rendre inaccessible et demander une rançon par exemple. Les supports disponibles pour attaquer une organisation sont de plus en plus nombreux (applications, mobiles, cloud etc…) et une fois de plus, la créativité des attaquants ne doit en aucun cas être sous-estimée. Nous monitorons les évolutions des attaques constamment pour être au plus près de la menace.

Bref, être pro actifs devient indispensable, que ce soit à l’extérieur, mais aussi et surtout à l’intérieur de l’entreprise ?

Je ne serais pas de ces gens qui disent que la faiblesse est entre la chaise et le clavier. L’intérieur de l’entreprise est un des rideaux de défense qui doit être pris en compte, aussi bien au niveau des postes des utilisateurs que des utilisateurs eux-mêmes. Cela passe par des couches de protections technologiques comme par des mesures de sensibilisation et de formation des collaborateurs. Que l’attaquant soit interne ou externe, il finira par essayer de se faire passer pour quelqu’un de légitime sur le réseau et il faudra s’assurer qu’on l’attrape à ce moment là.

cyberattaque, Securite informatique

Augmentation de 550% du vishing, arnaque téléphonique

26 mai 2022 Damien Bancal

Les attaques par hameçonnage vocal (vishing ou voice phishing) auraient augmenté de près de 550 % au cours des douze derniers mois, selon le dernier rapport trimestriel sur les tendances en matière de menaces. Une hausse peu étonnante à la vue des méthodes pirates mises en place pour passer outre la double authentification.

Au cours du premier trimestre 2022, les sociétés Agara/Phishlabs ont détecté des centaines de milliers d’attaques phishing en provenance des réseaux sociaux, messageries électroniques ciblant un large éventail d’entreprises et de marques. Ce rapport analyse les principales tendances du paysage des menaces actuel.

Les attaques par vishing dépassent la compromission des e-mails

Depuis le troisième trimestre 2021, les attaques par vishing ont dépassé la compromission des e-mails professionnels, se positionnant comme deuxième source de menaces pesant sur les systèmes de messagerie électronique. À la fin de l’année, ces dernières représentaient plus d’une menace sur quatre, et cette tendance s’est poursuivie au premier trimestre 2022.

« Les campagnes de vishing hybride continuent de générer des chiffres stupéfiants, puisqu’elles constituent 26,1 % du volume total des attaques enregistrées jusqu’à présent en 2022 », indique John LaCour, de chez HelpSystems. « On assiste à une multiplication des acteurs de la menace qui délaissent les campagnes de phishing vocal standards pour lancer des attaques par e-mail malveillant en plusieurs étapes. Au cours de ces attaques, les hackers se servent d’un numéro de rappel inséré dans le corps de l’e-mail comme appât, puis s’appuient sur l’ingénierie sociale et l’usurpation d’identité pour inciter la victime à appeler et à interagir avec un faux représentant. »

Un chiffre qui pourrait étonner, mais qui pourtant montre l’évolution des pirates. Le blog ZATAZ, référence en matière des actualités liées à la lutte contre le cybercrime, révélait en 2021, une méthode pirate baptisée la méthode du « ALLO » qui consiste à appeler les victimes, par téléphone, pour leur soutirer les informations que les pirates informatiques ne possèdent pas déjà !

Autres enseignements de ce rapport

Les attaques par usurpation d’identité sur les réseaux sociaux sont en hausse. Depuis le deuxième trimestre 2021, le volume des usurpations d’identité ciblant les marques a bondi de 339 % et celui des usurpations d’identité de dirigeants de 273 %. D’après les résultats, les marques constituent des cibles faciles pour les cyber criminels, surtout lorsqu’elles sont associées à des opérations de contrefaçon de produits vendus au détail. Cependant, pour certaines attaques ciblées, des comptes sociaux de dirigeants sont utilisés pour renforcer le réalisme.

Les escroqueries par e-mail dont l’objectif est le vol d’identifiants restent le type de menaces par messagerie électronique le plus courant signalé par les collaborateurs, à hauteur de près de 59 % de tous les typologies de menaces rencontrées. Les vols d’identités ont augmenté de 6,9 % en volume par rapport au quatrième trimestre 2021.

Le paysage des malware est en constante évolution

Qbot a été une fois de plus le malware le plus usité par les acteurs de la menace pour servir leurs attaques par ransomware, mais Emotet a refait surface au premier trimestre prenant la première place du podium.

Alors que près de la moitié des sites d’hameçonnage s’appuient sur un outil ou un service gratuit, le premier trimestre 2022 a été le premier de cinq trimestres consécutifs où les services payants ou compromis (52 %) ont dépassé les solutions gratuites pour les mises en scène des sites de phishing.

« Comme la diversité des canaux numériques utilisés par les entreprises pour conduire leurs activités et communiquer avec les consommateurs se développe, les hackers disposent de multiples vecteurs pour conduire leurs exactions », ajoute John LaCour. « La plupart des attaques ne démarrent pas de zéro ; elles reposent sur la refonte de tactiques traditionnelles et l’intégration de multiples plateformes. Pour continuer à se protéger, les entreprises ne doivent plus uniquement se concentrer sur une protection périmétrique mais augmenter leur visibilité sur différents canaux externes, afin de recueillir des renseignements et de surveiller les menaces de manière proactive. En outre, les équipes de sécurité doivent investir dans des partenariats qui garantiront la prévention rapide et complète des attaques avant qu’elles n’entraînent des préjudices financiers et des atteintes à la réputation. »

Cybersécurité, Phishing

2,4 milliards de dollars de pertes à cause du phishing en 2021 selon le FBI

23 mai 2022 Damien Bancal

Avec près de 40% des plaintes pour des escroqueries en ligne portant sur le phishing, le FBI révèle dans son Internet Crime Report annuel* que ce type d’attaque a atteint les 2,4 milliards de dollars de dommages en 2021. Les cybercriminels passent par les mails pour diriger les internautes sur de faux sites et les inciter à partager des informations personnelles ou professionnelles.

Si dans son rapport le FBI accorde une attention toute particulière aux mails professionnels des entreprises provenant des États-Unis ou qui y sont actives, le montant mondial total est par conséquent encore plus élevé car il s’agit d’un problème qui touche tous les internautes.

Ces risques peuvent alors être préjudiciables aux marques et sites qui vont voir leur image dégradée à cause d’une perte de confiance de la part de l’internaute après une mauvaise expérience.

Par conséquent, garantir aux utilisateurs qu’ils sont bien sur un site authentifié va, d’une part, les protéger dans leur démarche, mais également les rassurer. Une manière complémentaire pour les entreprises de renforcer la relation client à travers une expérience consommateurs sans risque et de gagner en e-réputation en instaurant une réelle confiance avec les clients.

Si des indices et un peu d’attention permettent de déjouer cette arnaque courante : vérification de l’orthographe, l’URL du site en question, site certifié d’un label ; un manque de vigilance peut vite arriver et engendrer le vol de ses données.

Cybersécurité

Microsoft corrige 75 vulnérabilités dont 8 critiques

23 mai 2022 Damien Bancal

Microsoft corrige 75 vulnérabilités dont 8 critiques.

Dans le cadre du Patch Tuesday de mai, Microsoft a corrigé 75 vulnérabilités dont 8 sont classées comme critiques, pouvant entraîner une RCE ou une élévation de privilèges et a publié un avis de sécurité (ADV220001) pour Azure en réponse à CVE-2022-29972, une vulnérabilité d’exécution de code à distance (RCE) Zero-Day. Le Patch Tuesday du mois comprend aussi des correctifs pour deux autres vulnérabilités 0Day, l’une connue pour être activement exploitée (CVE-2022-26925), l’autre pour être publiquement exposée (CVE-2022-22713). Microsoft a corrigé divers problèmes dans ses logiciels, y compris des vulnérabilités de déni de service (DoS), d’élévation de privilèges, de divulgation d’informations, d’exécution de code à distance (RCE), de contournement des fonctions de sécurité et d’usurpation.

Principales vulnérabilités Microsoft corrigées

L’avis de sécurité du mois-ci concerne de nombreux produits Microsoft, dont Azure, les outils pour développeurs (Developer Tools), les mises à jour de sécurité étendue (ESU), Exchange Server, Microsoft Office et Windows. Au total, ce sont 97 produits/versions Microsoft concernés. Les téléchargements concernent Monthly Rollup (Déploiement mensuel), Security Only (Sécurité uniquement), Security Update (Mise à jour de sécurité) et ServicingStackUpdate (Pile de maintenance du système d’exploitation).

CVE-2022-21978 | Vulnérabilité d’élévation de privilèges dans Microsoft Exchange Server

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,2/10. Pour que l’exploitation de cette vulnérabilité fonctionne, l’attaquant doit être identifié sur le serveur Exchange en tant que membre d’un groupe ayant des privilèges élevés. Évaluation d’exploitabilité : Exploitation moins probable .

CVE-2022-22012 et CVE-2022-29130 | Vulnérabilité d’exécution de code à distance (RCE) dans le protocole Windows LDAP

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10. Un attaquant non authentifié peut envoyer une requête fabriquée de toute pièce sur un serveur vulnérable. Si l’exploitation réussit, le code malveillant de l’attaquant peut alors être exécuté dans le cadre d’un compte SYSTEM. Cette vulnérabilité est uniquement exploitable si la politique LDAP MaxReceiveBuffer est configurée avec une valeur supérieure à celle par défaut. Les systèmes configurés avec la valeur par défaut de cette politique ne devraient pas être affectés. Pour plus d’informations, consulter : politiques LDAP de Microsoft. Évaluation d’exploitabilité : Exploitation moins probable.

CVE-2022-22017 | Vulnérabilité d’exécution de code à distance sur le client Bureau à distance

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Pour exploiter ces vulnérabilités, l’attaquant doit convaincre l’utilisateur ciblé de se connecter à un serveur RDP malveillant. Au moment de la connexion, le serveur malveillant peut exécuter du code sur le système de la victime dans le contexte de l’utilisateur ciblé. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-26913 | Vulnérabilité de contournement de la fonction de sécurité dans l’authentification Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,4/10. L’attaquant qui parvient à exploiter cette vulnérabilité pourra lancer une attaque Man-in-the-Middle (MITM) et déchiffrer et lire ou bien modifier le trafic TLS entre le client et le serveur. La disponibilité de la machine attaquée n’est aucunement impactée. Évaluation d’exploitabilité : Exploitation moins probable .

CVE-2022-26923 | Vulnérabilité d’élévation de privilèges sur les Services de domaine Active Directory

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Un utilisateur authentifié peut manipuler des attributs sur des comptes informatiques qu’il possède ou administre et obtenir ainsi un certificat auprès des Services de certificats Active Directory, ce qui pourrait entraîner une élévation de privilèges.
Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-26937 | Vulnérabilité d’exécution de code à distance (RCE) au sein du système de fichiers réseau (NFS) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10. Cette vulnérabilité peut être exploitée sur le réseau en passant un appel malveillant non authentifié auprès du service de système de fichiers réseau (NFS) afin de déclencher une exécution de code à distance (RCE). Cette vulnérabilité n’est pas exploitable dans NFSV4.1. Avant de mettre à jour votre version de Windows qui protège contre cette vulnérabilité, il est possible d’atténuer une attaque en désactivant les versions NFSV2 et NFSV3. Mais comme votre écosystème peut s’en trouver affecté, cette procédure ne doit être activée que sous la forme d’une atténuation temporaire. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-29108 | Vulnérabilité par exécution de code à distance sur Microsoft SharePoint Server

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Pour exploiter cette vulnérabilité, un attaquant doit être authentifié et avoir la permission de créer des pages. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-29133 | Vulnérabilité d’élévation de privilèges dans le noyau Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Dans ce cas, une attaque pourra être lancée avec succès depuis un environnement d’exécution AppContainer à faibles privilèges. L’attaquant peut obtenir des privilèges élevés puis exécuter du code ou accéder à des ressources à un niveau d’intégrité supérieur à celui de l’environnement d’exécution AppContainer. Évaluation d’exploitabilité : Exploitation moins probable .

Cybersécurité, Entreprise

Plus de la moitié des fuites de données découle de cyberattaques

23 mai 2022 Damien Bancal

Plus de la moitié des fuites de données découle de cyberattaques

Dans son dernier rapport d’activité, la CNIL révèle qu’en 2021 près de 6 notifications de fuite de données sur 10 découlaient de cyberattaques, notamment de ransomware, et non plus de mauvaises manipulations informatiques. Une hausse considérable par rapport à 2020. En cause, des fonctions cryptographiques obsolètes rendant les sites internet vulnérables, des moyens encore insuffisants aux regards des enjeux actuels en matière de cybersécurité, ou encore des mots de passe pas assez sécurisés.

Les techniques d’attaques ne cessent d’évoluer et aujourd’hui, si d’après le rapport les secteurs de l’action sociale et de la santé restent les cibles premières des cyberattaquants, la CNIL rappelle que toutes les entreprises peuvent être visées, peu importe le secteur.

Dans ce contexte, Laurent Maréchal, Technology Architect EMEA chez Skyhigh Security commente : « Ces dernières années ont été marquées par la migration des entreprises dans le cloud pour y stocker leurs données et applications métier, motivées par la nécessité d’agilité, d’adaptation, de flexibilité et d’innovation. Le cloud permet en effet d’adapter rapidement les capacités d’infrastructures technologiques aux besoins de l’entreprise.’«

Néanmoins, de nouveaux risques de sécurité ont émergé avec l’usage de ces nouveaux environnements. En effet, cette migration a été relativement spontanée dans de nombreuses entreprises, et la question de la sécurité informatique n’a pas nécessairement été en tête des priorités. Combiné à l’usage du BYOD (l’utilisation de matériels personnels dans un cadre professionnel) ou du Shadow IT (l’utilisation d’applications non approuvées par un service IT), la surface d’exposition aux cyberattaques a considérablement augmenté. Et cela n’a pas échappé aux cybercriminels, qui tirent profit de la situation.

Les données constituent aujourd’hui une valeur importante pour de nombreuses entreprises, et la protection de l’information est devenue capitale comme peut le montrer le Service Veille ZATAZ.

Il existe aujourd’hui des solutions au niveau technologique qui peuvent améliorer considérablement la sécurité informatique. L’authentification multifactorielle ou l’approche « Zero Trust » selon laquelle la confiance n’est pas automatiquement accordée aux utilisateurs, mais où elle est gagnée en fonction des habitudes de connexion et des comportements, permettent de renforcer la sécurité. Mais pour protéger les données, il ne suffit pas de construire des périmètres et de garantir les accès par des politiques statiques.

« En effet, aujourd’hui, les données sont constamment créées, partagées et déplacées au sein de l’entreprise. Protéger la façon dont les données sont utilisées est un élément essentiel dans la réussite d’un projet Cloud, avec non pas un modèle de fermeture, mais d’ouverture maitrisée. » termine Laurent Maréchal.

Bitcoin, Cybersécurité

Quel wallet pour sécuriser ses Bitcoins ?

4 mai 2022 Contributeur Partenaire

Le Bitcoin ne cesse de faire parler de lui, et non seulement de ceux qui s’intéressent de près à la bourse. La croissance de son cours a aidé le portefeuille de plus d’un investisseur, en leur faisant gagner des sommes importantes rapidement, ce qui a eu pour effet de créer un grand intérêt général. Mais une fois l’achat effectué, où doit-on ranger ses Bitcoins pour les conserver en sécurité ? Voici une comparaison des wallets pour devises virtuelles.

Quelles solutions sont-elles offertes ?

Pour acheter des devises virtuelles, il faut se rendre sur une plateforme spécialisée, en ligne. C’est aussi là que l’on peut rester informé sur le cours du Bitcoin et les autres cryptomonnaies. La transaction s’effectue sur la plateforme, puis les Bitcoins sont déposés dans le compte du client, sur celle-ci. Il est possible de les conserver à cet endroit, mais ce n’est certainement pas la solution la plus sécuritaire. Les cas de piratage ayant eu lieu sur ces plateformes sont bien connus et surtout bien réels. Et si les Bitcoins sont volés, le propriétaire n’a pas de recours contre la plateforme.

Il faut donc les retirer de ces plateformes de trading, dès que possible. Mais où peut-on déposer des devises virtuelles ? Dans un portefeuille électronique, bien sûr. Ceux-ci portent le nom anglais de « wallet » On distingue trois types différents qui sont les online, software et hardware wallet. Voici une brève description de chacun d’entre eux, pour aider les lecteurs à faire leur choix.

L’online wallet : la solution court terme

Cette option est celle que nous avons décrite précédemment. L’online wallet est celui que crée la plateforme, pour l’utilisateur, sur leur site web. C’est l’endroit où seront déposés les Bitcoins, suite à la transaction d’achat. C’est sans le moindre doute le wallet le moins sécurisé du marché. Il se doit d’exister afin de pouvoir procéder à l’achat, mais les Bitcoins devraient y passer le moins de temps possible, avant de se diriger vers un des deux portefeuilles suivants.

Le software wallet : la solution médiane

Le software wallet peut être installé en deux versions : une pour les ordinateurs et l’autre pour les smartphones. Ils permettent la sortie des portefeuilles de plateforme (online wallet), afin de sécuriser les Bitcoins sur un compte personnel qu’est le software wallet. Le problème de celui-ci est qu’il peut être piraté, dès que l’appareil se connecte à Internet. Alors, à moins qu’une personne n’utilise jamais ces appareils pour naviguer en ligne, les Bitcoins demeurent en danger, bien qu’ils le soient moins que dans la version online.

Le hardware wallet : la solution optimale

Vous l’aurez compris, en lisant les paragraphes précédents, la seule version sécuritaire des portefeuilles pour cryptomonnaies est le hardware wallet. Ces supports physiques sont séparés de tous les appareils électroniques ayant accès à Internet. Il est donc pratiquement impossible pour des hackers d’y avoir accès. Cependant, il faut s’assurer de conserver celui-ci dans un endroit sûr, car sa perte serait elle aussi dévastatrice. Prenez note qu’il existe tout de même un moyen de retrouver ses Bitcoins, alors que les clés sont conservées dans un espace physique sécurisé.

Cybersécurité

WithSecure France, anciennement F-secure, étoffe son offre de services pour les professionnels

4 mai 2022 Damien Bancal

F-Secure corporation a scindé ses opérations, en mars 2022, en deux activités distinctes : F-Secure pour les solutions destinées au grand public et WithSecure™ pour les solutions destinées au monde professionnel. Cette nouvelle marque, développée en étroite collaboration avec les employés, les partenaires revendeurs et les clients, inaugure une nouvelle ère pour les services et solutions de sécurité destinés aux entreprises.

En effet, WithSecure™ apporte de nouvelles briques à sa division Business Unit Solutions, avec des services spécialisés, axés vers des services managés (comme pour la détection et la réponse aux incidents) ainsi que vers des services de consulting et d’accompagnement. Certains n’étaient disponibles que dans quelques pays d’Europe, et sont désormais déployés sur l’ensemble du territoire français avec une équipe dédiée pour accompagner ces changements.

La solution Countercept déjà existante est désormais enrichie par les services :

– CSPM (Cloud Security Posture Management), qui fournit une assistance pour la configuration des services Cloud. Ce service a pour but d’aider à réduire les vulnérabilités liées aux mauvaises configurations, aux permissions trop importantes et au non-respect des bonnes pratiques. La posture de sécurité Cloud s’ne retrouve renforcée.

– ASM (Attack Surface Management), dont la fonction est d’analyser la surface d’attaque externe à une entreprise. C’est un service entièrement managé qui offre une visibilité immédiate sur l’état des services, données et assets exposés sans avoir besoin d’un service interne dédié à cette tâche. Cela donne une vision du point de vue du Hacker afin d’anticiper une potentielle attaque.

Pour en savoir plus sur cette solution cybersécurité.

À propos de WithSecure™

WithSecure™ est le partenaire européen de référence en matière de cybersécurité depuis plus de 30 ans. Nous accompagnons les fournisseurs de services informatiques, les MSSP et des multinationales, qui nous font confiance, à travers des modèles commerciaux flexibles et adaptés au marché. Nous leur fournissons une cybersécurité axée sur les résultats, pour les protéger en toutes circonstances et garantir le bon fonctionnement de leurs activités. Notre protection basée sur l’IA sécurise les endpoints et protège les environnements cloud. Nos outils intelligents de détection et de réponse sont pilotés par des experts qui identifient les risques, assurent une recherche proactive des menaces et neutralisent les attaques en temps réel. Un service de consulting expert est également disponible pour les entreprises qui souhaitent renforcer leur résilience. WithSecure™, anciennement F-Secure Corporation, a été fondée en 1988 et est cotée au NASDAQ OMX Helsinki Ltd.

Cybersécurité

Département de l’Aude : cyberattaque durant 3 mois !

23 avril 2022 Damien Bancal

Une nouvelle cyberattaque détectée à l’encontre d’un Département français. Durant trois mois, des pirates ont peut-être pu accéder aux données internes ! Cela vient confirmer l’importance de la cyber prévention à tous les niveaux.

Suite à une attaque informatique du 30 septembre au 15 novembre 2021, un accès illégal au serveur de messagerie a entraîné la perte de la confidentialité des données du Département de l’Ord. Par conséquent, toute personne ayant communiqué par e-mail ou ayant fait l’objet d’e-mails du département pourrait se faire voler des informations. On peut dire que dans ce contexte, la protection de l’identité numérique est très importante.

Si des indices et un peu d’attention peuvent stopper cette arnaque courante de l’hameçonnage (phishing) : correcteur orthographique aux abonnés absents, URL de sites usurpateurs, etc ; le manque de vigilance peut vite arriver et conduire au vol de vos données. Une bonne protection antivirus offre également la possibilité de protéger les postes de travail sans obliger les utilisateurs à les gérer.

Le phishing, largement utilisé par les cybercriminels, implique de fausses informations qui encouragent le partage de données personnelles. Ces risques peuvent être préjudiciables aux marques et aux sites Web, car les internautes perdent confiance après une mauvaise expérience, ce qui se traduit par une image ternie.

Ainsi, assurer aux utilisateurs qu’ils se trouvent bien sur le site qu’ils recherchent les protégera dans leur démarche tout en les rassurant. Une manière complémentaire pour les entreprises de renforcer la relation client à travers une expérience consommateur sans risque et d’acquérir une réputation numérique en instaurant une véritable confiance avec les clients.

Ce n’est pas le premier Département français à subir une cyberattaque. En 2018, le Département du Nord se retrouvé ponctionné de plusieurs centaines de milliers d’euros suite à une fraude aux présidents (fraude aux faux virement. Le Département de l’Ardèche, en avril 2022, se retrouvait avec des données exfiltrées par des pirates informatiques du groupe LockBit 2.0.

Cybersécurité

Quelle est la sécurité des services de stockage en ligne ?

9 avril 2022 Damien Bancal

Une nouvelle étude affiche des résultats peu rassurants sur l’état des lieux de la cyber protection en 2022.

La société Acronis, spécialiste de la cybersécurité, vient de dévoiler ses résultats concernant sa nouvelle étude sur l’état des lieux de la cyber protection en 2022. 6 200 responsables et utilisateurs informatiques de 22 pays, dont la France, ont été interrogés. Les résultats exposent certaines des lacunes les plus critiques apparaissant dans les pratiques de cyber protection aujourd’hui.

En 2021, 80 % des entreprises utilisaient jusqu’à 10 solutions différentes pour la protection des données et la cybersécurité – pourtant, plus de la moitié d’entre elles ont subi des temps d’arrêt dus à la perte de données. Cette année : 78 % des organisations gèrent jusqu’à 10 solutions différentes, tandis que 76 % d’entre elles subissent des temps d’arrêt dus à la perte de données – soit une augmentation de 25 % par rapport à 2021. Plus inquiétant encore, la réflexion sur le meilleur stockage en ligne en terme de sécurité ne semble pas une priorité.

Les organisations traitent encore la cyber protection comme un élément « utile » et non comme une « nécessitée » : la moitié des organisations au niveau mondial allouent moins de 10% de leur budget informatique global à la sécurité informatique. Seules 23 % des entreprises dans le monde investissent plus de 15 % de leur budget informatique global dans la sécurité.

Comme l’explique l’étude, un tiers des responsables informatiques ne font que des sauvegardes hebdomadaires, tandis que 25 % font des sauvegardes mensuelles. L’utilisation des meilleures pratiques de sauvegarde est en baisse dans l’ensemble de l’entreprise – seulement 15 % des équipes informatiques des organisations y adhèrent.

86 % des entreprises sont préoccupées par la menace d’une augmentation des cyberattaques à caractère politique, causée par la détérioration du climat géopolitique avec, entre autre, la guerre déclarée par la Russie à l’Ukraine.

43% des utilisateurs effectuent les mises à jour une semaine ou plus après la publication d’une mise à jour – parmi eux, 7% mettent plus d’un mois (!) pour effectuer les mises à jour recommandées. Une grosse baisse du temps de réponse par rapport à 2021. 66% des utilisateurs ne sauraient ou ne pourraient pas dire si leurs données ont été modifiées.

Cyber-attaque, DDoS, Securite informatique

Plus de 9 millions d’attaques DDoS en 2021

7 avril 2022 Damien Bancal

Pirates, services DDoS-for-Hire et autres armées de botnets de classe serveur ont facilité le lancement d’attaques de plus en plus sophistiquées. Plus de 9 millions de cyberattaques de type DDoS en 2021 !

La nouvelle étude semestrielle Threat Intelligence Report de la société Netscout affiche une année 2021 très « hard » du côté de la cyber. Au cours du second semestre 2021, les cybercriminels ont lancé environ 4,4 millions d’attaques par déni de service distribué (DDoS), portant à 9,75 millions le nombre total d’attaques de ce type effectuées au cours de l’année. Bien qu’en baisse de 3 % par rapport au record établi au plus fort de la crise sanitaire, ces attaques se poursuivent à un rythme supérieur à 14 % aux niveaux pré pandémiques.

Le second semestre 2021 a été marqué par la mise en place d’armées de botnets de très grande puissance et par un rééquilibrage entre les attaques volumétriques et les attaques par voie directe sans usurpation ; créant des procédures opérationnelles plus sophistiquées pour les attaquants, qui ont pu ajouter de nouvelles tactiques, techniques et méthodes à leur arsenal.

« S’il est tentant de considérer la baisse du nombre total d’attaques comme un recul de l’activité des cybercriminels, nous avons constaté une activité sensiblement plus importante par rapport aux niveaux antérieurs à la pandémie, a déclaré Richard Hummel, responsable des renseignements sur les menaces de NETSCOUT. En réalité, les attaquants innovent et utilisent en permanence de nouvelles techniques, telles que les botnets de type serveur, les services DDoS-for-Hire et le lancement accru d’attaques par voie directe, qui contribuent à la transformation permanente du paysage des menaces. »

Hausse des extorsions DDoS et des ransomwares — Trois campagnes DDoS de grande ampleur ont eu lieu simultanément, établissant un nouveau record. Des gangs de ransomware, parmi lesquels Avaddon, REvil, BlackCat, AvosLocker et Suncrypt, ont été identifiés alors qu’ils utilisaient le DDoS pour extorquer leurs victimes. Forts de ce succès, certains groupes de ransomwares exploitent des opérateurs d’extorsion DDoS se faisant passer pour des affiliés — c’est le cas par exemple d’une campagne d’extorsion DDoS signée par REvil.

Les services Voix sur IP, à leur tour victimes d’extorsions DDoS — Des campagnes d’extorsion DDoS ont été menées à travers le monde par un imitateur de REvil contre plusieurs prestataires de services de téléphonie sur Internet (VoIP). L’un d’eux a fait état d’une perte de comprise entre 9 et 12 millions de dollars à cause des attaques DDoS.

Les services DDoS-for-Hire simplifient le processus d’attaque — NETSCOUT a examiné 19 services DDoS-for-Hire, ainsi que les moyens qu’ils utilisent pour éliminer les exigences techniques et le coût de lancement d’offensives DDoS de grande envergure. Ensemble, ils proposent plus de 200 types d’attaques.

Les attaques ont progressé de 7 % dans la région APAC, mais reculé dans les autres régions — Dans un contexte géopolitique tendu en Chine, à Hong Kong et à Taïwan, la région APAC a connu la plus forte augmentation du nombre d’attaques en variation annuelle par rapport aux autres régions du monde.

Les armées de botnets de classe serveur débarquent — Les cybercriminels ont non seulement augmenté le nombre de botnets connectés à l’Internet des objets (IoT), mais également enrôlé des serveurs de très forte puissance et des périphériques connectés de grande capacité, avec notamment les botnets GitMirai, Mēris et Dvinis.

Les attaques par voie directe gagnent en popularité — Les groupes de hackers ont submergé les entreprises par leurs attaques DDoS de type TCP Flood et UDP Flood, également connues sous le nom d’attaques par voie directe ou sans usurpation. Parallèlement, le recul de certaines attaques par amplification a fait baisser le nombre total d’agressions.

Les pirates ciblent principalement certaines activités — Les secteurs les plus touchés sont les éditeurs de logiciels (hausse de 606 %), les agences et courtiers d’assurance (+257 %), les fabricants d’ordinateurs (+162 %) et les collèges, universités et établissements d’enseignement professionnel (+102 %).

L’attaque DDoS la plus rapide en hausse de 107 % par rapport à l’année précédente — Regroupant les vecteurs DNS, d’amplification DNS, ICMP, TCP, ACK, TCP RST et TCP SYN, l’attaque multi vectorielle lancée contre une cible russe a atteint le débit de 453 millions de paquets par seconde (Mpps).

Justice, Mise à jour, Téléphonie

Starlink interdit en France ?

6 avril 2022 Damien Bancal

Des associations environnementales françaises font interdire dans l’hexagone le service Starlink d’Elon Musk.

L’affaire pourrait prêter à sourire, mais démontre que les lobbyings de tous poils sont aux aguets dés qu’il s’agit de faire interdire des avancés technologiques qui ne vont pas dans leur sens. Alors que de nombreux français, en zones blanches (sans possibilités de connexion) ne peuvent exploiter le numérique, des services tels que ceux proposés par l’entreprise d’Elon Musk permettent de ne plus être hors du XXIe siècle.

Le 5 avril, le Conseil d’Etat a retoqué une décision de l’ARCEP (le gendarme des fréquences radios en France) datant de janvier 2021 qui permettait à Starlink de proposer ses accès Internet par Satellite. Le Conseil d’État a reproché à l’Arcep de ne pas avoir mis en place « une consultation du public » afin de faire jouer la concurrence. Bilan, il est reproché, non pas des ondes qui pourraient détruire la nature. Il est expliqué que cet accord était « susceptible d’avoir une incidence importante sur le marché de la fourniture d’accès à internet à haut débit, et d’affecter les utilisateurs« .

Les associations Priartem et Agir pour l’environnement vont demander, sept mois plus tard, l’annulation de l’autorisation ARCEP/Starlink. Ils vont mettre en avant un défaut de mise en concurrence pour faire couper Starlink. Les associations s’y prendront à trois fois. Après un refus, en septembre 2021, remise sur le tapis en décembre 2021, puis en mars 2022. La troisième sera la bonne ! Ces associations sont spécialisées dans « la prévention des risques liés aux technologies électromagnétiques ». Elles vont gagner en mettant en avant « Une incidence importante sur le marché de la fourniture d’accès à internet à haut débit […] sans avoir préalablement procédé à une consultation du public. »

Couper, pas couper ?

Couper Starlink Internet Services Limited, en France. Cela va surtout le rendre un peu plus lent. Les informations vont être routées, prendre d’autres chemins, sans passer par les vertes prairies locales. Le hic va surtout être pour les utilisateurs d’aujourd’hui. Vont-ils encore avoir le droit d’utiliser leur matériel et, dorénavant, les fréquences interdites ? J’imagine déjà la tête de nos amis frontaliers en Suisse, Belgique, … passant par la bande fréquence « Made in France » (0,95-12,70 GHz de haut en bas et 14,00-14,5 GHz de bas en haut). Le document du Conseil D’Etat semble préciser que l’interdiction vise les liaisons entre un satellite et le sol, et pas un satellite vers les paraboles Starlink au sol. Bref, c’est capillotractée.

Je suis impatient de voir venir des propositions alternatives françaises pour sortir du noir les zones blanches, avec l’aide de ces associations ! En attendant, Arianespace a signé un contrat avec Amazon pour envoyer vers l’infini et haut delà les satellites Kuiper. Mission, diffuser de l’Internet à haut débit d’ici à 2030.

Cybersécurité, Securite informatique

Cloud Sécurisé, kesako ?

28 mars 2022 Contributeur Partenaire

Vouloir accéder à ses données sauvegardées dans un cloud, partout dans le monde, est devenu une obligation pour les utilisateurs du numérique que nous sommes. Mais au fait, qu’est qu’un cloud sécurité ? Explication !

Pour comprendre l’importance d’un tel outil, nous sommes allés voir du côté de la société Pyxya. Cette entreprise est basée à Lyon. Elle s’est spécialisée dans des solutions fortes de WAN Hybride. L’intérêt d’allier cloud et sécurité apparait ici évident.

D’abord, l’aspect pratique. Allier cloud sécurité permet de mettre en relation, deux réseaux (WAN) géographiquement séparés.
Le trafic est acheminé par deux types de connexions distinctes. La première connexion passe par le classique Multiprotocol Label Switching. La seconde, par Internet. Le MPLS rend plus souple et rapide le routage, la communication et le transfert de vos données. Bref, indispensable pour l’interconnexion entre datacenters et succursales.

La force de la solution repérée chez Pyxya, permettre une totale sécurisation des données échangées car évoluant au cœur d’un réseau privé, en dehors d’une infrastructure publique, donc par nature ouverte comme Internet. pyxya, dans sa solution, propose une seconde connexion à large bande et via VPN.

Comme le rappel Pyxya, Le WAN hybride contribue aussi à la cloud sécurité. Parmi les avantages, en plus d’une amélioration de la gestion du trafic et la surveillance du trafic qui se trouve améliorée. Une sécurité optimisée qui peut-être renforcée par un SD-WAN hybride (en complément d’un réseau SD-WAN) et « profiter des avantages des deux solutions pour disposer d’un accès cloud sécurisé. » confirme l’entreprise lyonnaise. Une sécurisation des communications indispensable en cette période ou le télétravail a pris un essor exponentiel, et que l’accès à distance aux données de l’entreprise n’est plus une option.

Cybersécurité

Cyber risque

10 mars 2022 Damien Bancal

Près de 90% des entreprises considèrent que le risque cyber a augmenté ces deux dernières années

Au cœur des préoccupations des entreprises, la cybersécurité est devenue en quelques mois un sujet clé, notamment dans un contexte de généralisation du travail à distance et de multiplication des attaques. Entreprises publiques ou privées, toutes les organisations sont désormais concernées. Ainsi, en tant que spécialiste de la transformation digitale des organisations, le cabinet de conseil mc2i s’est intéressé aux pratiques et inquiétudes des organisations au travers d’une étude menée en partenariat avec IDC (International Data Corporation). Si l’étude montre une nette tendance à la hausse des investissements, elle montre aussi que la gestion des cybermenaces reste complexe pour des organisations. Des efforts restent à faire sur l’identification des risques ainsi que sur les moyens de protection à mettre en œuvre.

L’augmentation du risque cyber impacte les dépenses de cybersécurité pour 75% des entreprises

Conscientes que le risque d’attaque cyber a augmenté depuis 2 ans, les entreprises sont désormais 88% à considérer que les cybermenaces peuvent impacter leur activité. Parmi celles-ci, les ¾ considèrent que l’augmentation du risque a des conséquences directes sur les dépenses en cybersécurité. En effet, 70% des répondants ont augmenté leurs dépenses de cybersécurité en 2021. Une accélération notable, puisqu’elles n’étaient que 45% à les avoir augmentées en 2020.

Cette tendance va se poursuivre en 2022 puisque selon les estimations, les dépenses consacrées à la sécurité IT atteindront 4,7 Md d’€ cette année (contre 4,3 Md en 2021).

« Les entreprises du secteur privé comme les organisations publiques sont conscientes qu’elles peuvent à tout moment être victimes de cyberattaques. En particulier, au cours des deux prochaines années, elles vont concentrer leurs efforts sur la lutte contre les attaques ciblées telles que les ransomwares. Cela passera par des investissements technologiques, notamment en matière d’automatisation et d’intelligence artificielle/Machine Learning, mais également en matière d’accompagnement via le recours à des services de sécurité IT. » explique Eddye Dibar, Senior Research Analyst chez IDC.

Plus d’une entreprise sur 2 vont augmenter leurs investissements dédiés à la sensibilisation des collaborateurs

Parmi les failles identifiées, c’est le comportement des collaborateurs qui inquiète le plus les responsables de la sécurité IT. Une réalité exacerbée dans un contexte post Covid puisque 2/3 des organisations jugent que le travail hybride entraîne une hausse des cybermenaces, (connexions internet vulnérables, hotspots wifi publics…). Alors que seules 43% des entreprises ont plus de 3/4 de leurs salariés sensibilisés à la cybersécurité, elles sont 55% à vouloir augmenter leurs dépenses en sensibilisation des salariés, considérée comme une priorité pour les 2 prochaines années par 64% des répondants.

« Une diversité de compétences alliant maîtrise technique, compréhension des enjeux métiers, capacité relationnelle, qualité pédagogique et appétence juridique est nécessaire pour répondre à la sensibilisation et à la formation des collaborateurs qui sera encore en 2022 l’un des investissements majeurs. Les entreprises cherchent des solutions pour sensibiliser et former rapidement de nombreuses personnes avec des méthodes et des approches innovantes telles que le recours à des formations immersives et ludiques. » affirme Nosing Doeuk, Directeur et associé chez mc2i.

Une prise de conscience qui amène une réflexion sur la mise en place d’une gouvernance et de moyens de protection contre les cybermenaces

Face aux cybermenaces, l’étude révèle que les entreprises françaises sont encore peu mâtures en matière de gouvernance et de gestion du risque cyber. En effet, plus de 3 ans après l’entrée en vigueur du RGPD, seules 4 entreprises sur 10 ont mis en place une entité chargée de la gouvernance des données, et seules 5% d’entre-elles considèrent qu’elles ont une très bonne capacité à adapter leur politique de conformité en fonction de la sensibilité de ces données. En matière de détection et de gestion des cyberattaques, le constat est également préoccupant puisque 40% des répondants n’ont pas encore de politique de détection des cyberattaques et 38% n’ont pas de process pour y répondre en cas de survenance.

Néanmoins, l’augmentation du risque amène une prise de conscience de la part des entreprises qui ont pour la majorité entamé une réflexion sur le renforcement de cette gouvernance. Pour cela, près de la moitié d’entre-elles prévoient d’avoir recours à une prestation de conseil ou d’audit afin de se faire accompagner. Par ailleurs, la souveraineté des données est aujourd’hui un enjeu pour 77% des répondants. Parmi ceux-ci, 50% déclarent d’ailleurs gérer désormais leurs données en interne, ou être en cours de rapatriement.

« Le contexte de tensions géopolitiques et commerciales fait apparaître une préoccupation nouvelle autour de la souveraineté numérique. C’est dans ce contexte de hausse de l’exposition à la menace que mc2i adapte constamment son offre d’accompagnement à la cybersécurité qui se veut différenciante par la constitution d’équipes pluridisciplinaires alliant maîtrise technique et fonctionnelle, pour répondre efficacement à des besoins désormais protéiformes. » complète Nosing Doeuk.

Face au risque cyber, l’assurance peine à convaincre

Alors que 41% des organisations ont déjà une police d’assurance associée à la gestion des cyber risques, près d’un tiers des répondants (26%) ne trouve pas de contrat adapté à ses besoins. La multiplication de clauses particulières (48%) et les prix trop élevés par rapport aux risques encourus (42%) sont les premiers freins évoqués par les entreprises.

Cybersécurité, Entreprise

Marchandises pirates ont été dopées par la pandémie

10 mars 2022 Damien Bancal

Les contrefaçons et les marchandises pirates ont été dopées par la pandémie, selon un nouveau rapport d’Europol. Les réseaux criminels se sont rapidement saisis des nouvelles perspectives commerciales et adaptés à la demande de produits générées par la pandémie. Les produits cosmétiques, les aliments, les produits pharmaceutiques, les pesticides et les jouets contrefaits constituent tous une menace grave pour la santé des consommateurs. Les contrefacteurs s’appuient à présent fortement sur le domaine numérique pour trouver des composants et distribuer des produits (tangibles et non tangibles) aux consommateurs par l’intermédiaire de plateformes en ligne, de médias sociaux et de services de messagerie instantanée. La plupart des marchandises de contrefaçon distribuées dans l’UE sont produites en dehors de l’UE.

La dernière évaluation menée à l’échelle de l’UE sur la menace posée par les atteintes à la propriété intellectuelle (Intellectual Property Crime Threat Assessment), réalisée conjointement par Europol et l’Office de l’Union européenne pour la propriété intellectuelle (EUIPO), révèle que la distribution de marchandises de contrefaçon a connu un succès florissant pendant la pandémie de COVID-19. La crise sanitaire a ouvert de nouvelles perspectives pour le commerce de contrefaçons et de marchandises pirates, et les criminels ont adapté leurs modèles commerciaux à la nouvelle demande mondiale.

Ce rapport, fondé sur des données à l’échelle de l’UE et sur les informations opérationnelles d’Europol, confirme que la contrefaçon et le piratage continuent de constituer une menace grave pour la santé et la sécurité des consommateurs, ainsi que pour l’économie européenne. Les importations de produits de contrefaçon et de marchandises pirates ont atteint 119 milliards d’EUR en 2019, soit 5,8 % de l’ensemble des marchandises entrant dans l’UE, selon les dernières données de l’OCDE et de l’EUIPO.

Outre les catégories des vêtements et autres produits de luxe contrefaits saisis, le commerce de produits susceptibles de nuire à la santé humaine, tels que les médicaments, les aliments, les boissons, les cosmétiques et les jouets de contrefaçon, se développe.

La découverte de produits pharmaceutiques de contrefaçon (de divers types de médicaments à des équipements de protection individuelle ou des masques chirurgicaux) est en constante augmentation ces dernières années. Autrefois distribués sur des marchés physiques, ils le sont à présent presque entièrement par la vente en ligne, ce qui suscite des préoccupations en matière de santé publique. Ces produits illicites proviennent toujours en grande partie de l’extérieur de l’UE, mais ils peuvent également être produits dans des laboratoires illégaux situés dans l’UE, qui sont difficiles à détecter et peuvent être mis en place avec relativement peu de moyens.

La production de denrées alimentaires illicites, et en particulier de boissons, est devenue plus professionnelle et plus complexe, certains contrefacteurs contrôlant l’ensemble de la chaîne d’approvisionnement et de distribution. Les violations d’indications géographiques protégées continuent également d’être largement signalées.

Le rapport présente par ailleurs certaines tendances majeures dans divers secteurs de production principalement ciblés par les contrefacteurs. Les vêtements, les accessoires et les articles de luxe figurent toujours parmi les catégories de produits les plus contrefaites, et sont vendus à la fois en ligne et dans le commerce traditionnel. Ils représentent une très large part des quelque 66 millions d’articles de contrefaçon saisis par les autorités dans l’UE en 2020.

Fonctionnement des réseaux criminels

Le rapport souligne que la distribution de produits de contrefaçon repose principalement sur des plateformes numériques, tendance qui s’est accélérée avec la pandémie et la consommation en ligne généralisée. Les marchandises de contrefaçon sont proposées sur les marchés en ligne, via des services de diffusion en continu en direct, des vidéos et de la publicité sur les plateformes de médias sociaux, et sur les services de messagerie instantanée. Les distributeurs ciblent généralement leurs clients par le biais de réductions trompeuses ou de produits de marque à bas prix.

La contrefaçon est une activité très lucrative pour les réseaux criminels, lesquels récoltent d’importants bénéfices tout en courant relativement peu de risques.

La criminalité liée à la PI fait partie des priorités de l’UE dans la lutte contre la grande criminalité organisée pour la période 2022-2025, dans le cadre de la plateforme pluridisciplinaire européenne contre les menaces criminelles (EMPACT).

Le rapport souligne que, bien que la majorité des contrefaçons sur le marché de l’UE soient produites en dehors de l’Europe, principalement en Chine et dans d’autres régions d’Asie, la fabrication au sein de l’UE est une tendance qui prend de l’ampleur. L’augmentation des importations dans l’UE de matériaux d’emballage et de produits semi-finis contrefaits met clairement en évidence la présence d’installations de fabrication illégales dans l’UE. Les réseaux basés en Europe se livrant à des actes de criminalité liée à la PI distribuent les articles de contrefaçon importés et gèrent dans certains cas des installations modernes d’assemblage de produits semi-finis.

M. Christian Archambeau, Directeur exécutif de l’EUIPO, explique : « Cette nouvelle évaluation de la menace apporte un nouvel éclairage sur l’étendue et les tendances de la contrefaçon et du piratage au sein de l’UE, et souligne les graves préjudices qui peuvent être causés à la santé des consommateurs ainsi que l’incidence sur les entreprises légitimes, en particulier en ces temps difficiles de reprise après la pandémie de COVID-19. Les criminels ont démontré leur capacité à s’adapter aux nouvelles opportunités offertes par la pandémie, et nous devons continuer à soutenir, à travers notre collaboration étroite avec Europol, les efforts déployés par les autorités répressives dans la lutte contre la criminalité liée à la PI« .

Pour Mme Catherine De Bolle, Directrice exécutive d’Europol : « La pandémie de COVID-19 a offert aux criminels de nouveaux débouchés commerciaux pour la distribution de produits contrefaits et de qualité inférieure. Au mieux, ces produits ne fonctionneront pas aussi bien que les produits authentiques. Au pire, ils peuvent présenter des défaillances aux conséquences catastrophiques. Les saisies réalisées par les autorités répressives indiquent que ces marchandises sont de plus en plus produites au sein de l’UE, tandis que la pandémie de COVID-19 a encore renforcé le recours des criminels au domaine numérique pour s’approvisionner en produits illégaux et les distribuer. Ce rapport fait le point sur l’étendue de ce phénomène criminel et appelle une réaction axée sur des actions transfrontalières concertées tandis que nous entrons dans la période de reprise économique post-COVID. Les contrefacteurs sans scrupules doivent être les seuls à payer un prix élevé.«

Autres marchandises de contrefaçon sur le marché

Les téléphones portables ainsi que leurs accessoires et composants figurent également parmi les principales catégories de marchandises contrefaites saisies et sont vendus en grande quantité lors d’événements tels que le Black Friday et le Cyber Monday. Dernièrement, les contrefacteurs ont profité de la pénurie mondiale de puces à semi-conducteurs.

Dans le cas des parfums et des cosmétiques, la production illicite concerne des produits de consommation courante, tels que le shampoing, le dentifrice ou les détergents.

Le commerce de pesticides illicites reste une activité extrêmement lucrative présentant un risque faible, soutenue par une demande élevée et des sanctions minimes à l’égard des contrevenants.

La COVID-19 a également entraîné une augmentation de l’offre de contenus numériques illicites, souvent liés à d’autres activités cybercriminelles. Le piratage prend désormais essentiellement la forme d’une délinquance informatique, et les sites web qui distribuent illégalement des contenus audiovisuels sont hébergés sur des serveurs situés en Europe, en Asie et au Moyen-Orient. (rapport)

Social engineering

Comment créer un questionnaire en ligne efficace ?

5 mars 2022 Damien Bancal

Vous souhaitez créer un questionnaire mais ne savez pas par où débuter ? Différentes étapes sont importantes dans le cheminement de l’élaboration d’un questionnaire. Dans cet article, nous vous donnons quelques conseils pour en créer un efficace autant pour vous que pour vos participants !

Les étapes à suivre pour réaliser un questionnaire

Les objectifs du questionnaire

Avant de rédiger les questions destinées à vos futurs participants, faites le point sur les objectifs du questionnaire. Il est aussi essentiel de déterminer à qui le questionnaire sera distribué. Pour cela, déterminez le type de personnes dont vous avez besoin. Si vous le souhaitez, vous pouvez établir une liste d’informations qui vous permet de cibler les bonnes personnes : âge, nationalité, sexe, études/travail, etc. Ces informations sont demandées au début du questionnaire et vous permettent de faire une étude statistique plus poussée sur vos participants.

Type de questionnaire

Sous quelle forme souhaitez-vous proposer ce questionnaire ? Quiz, sondage… Réfléchissez à la manière dont les personnes vont répondre et donc quel type de questionnaire est le plus adapté à vos objectifs.
Pour cibler au mieux le type de réponse que vous souhaitez de la part des candidats, prenez également le temps de réfléchir sur les options qui s’offrent à vous : réponse libre, réponse à choix multiples, notation…

L’élaboration

Vous avez désormais fait le plus dur, les objectifs sont notés. Vous pouvez désormais créer votre questionnaire en ligne : voir sur ce site. Choisissez quel format de questionnaire vous souhaitez et lancez-vous !

Distribuez votre questionnaire

Votre questionnaire est terminé, c’est le moment de le distribuer. N’hésitez pas à le partager sur les réseaux sociaux via son lien. Aussi, vos connaissances peuvent vous aider à le distribuer ou à trouver des candidats.

Analyse des résultats

Après avoir récolté les résultats obtenus, vous pouvez passer à l’analyse des graphiques. C’est la dernière étape qui vous permet de vérifier vos hypothèses de départ si vous en aviez, ou de comparer les objectifs aux résultats.

Nos conseils pour un questionnaire efficace

Allez droit au but

Si cela est possible, évitez les questionnaires trop longs. Les utilisateurs risquent de quitter le questionnaire sans avoir terminé. Si des questions vous semblent superflues ou douteuses, retirez-les ou trouvez un moyen de mieux les intégrer. Le but est que les personnes questionnées restent jusqu’au bout et répondent au maximum des questions !

La barre de progression est par exemple une idée astucieuse pour que le participant voit les étapes restantes avant de la fin. En effet, pour montrer l’avancée du processus afin que la personne se situe dans le questionnaire, vous pouvez insérer cette barre.

Employez la bonne formulation

Le but est de rester neutre : ne laissez pas paraître votre opinion dans le questionnaire. Vous récoltez des réponses et les personnes interrogées ne doivent pas être influencées. C’est pourquoi il est important de bien réfléchir aux formulations employées pour garder un ton formel.
Attention également à ne pas être ambigu dans vos demandes pour que la personne comprenne bien la question et réponde le plus sincèrement possible. Évitez les questions trop personnelles ou complexes.

Cybersécurité, Justice

Les CNIL Européennes montrent les dents face à Google

12 février 2022 Damien Bancal

Les Commissions Informatiques et des Libertés Européennes considèrent que les données collectées par Google sont encore trop mal protégées face à l’espionnage. La France et l’Autriche menacent de nouvelles sanctions contre le géant américain.

Les données utilisées par Google et sa maison mère Alphabet ne seraient pas suffisament protégées, selon plusieurs CNIL Européennes. Pour la France, la Commission Informatique et des Libertés menacent d’interdiction Google Analytics. Enfin pourrions-nous dire. Depuis des années, l’exploitation des informations collectées est illégale. Google Analytics permet d’analyser le comportement des internautes sur internet et la CNIL s’inquiète de la possibilité d’interception par les services secrets américains.

Saisie de plaintes par l’association NOYB, la CNIL, en coopération avec ses homologues européens, a analysé les conditions dans lesquelles les données collectées grâce à cet outil sont transférées vers les États-Unis. La CNIL estime que ces transferts sont illégaux. La Commission estime que les données ne sont pas suffisamment encadrées. Si Google a adopté des mesures supplémentaires pour encadrer les transferts de données dans le cadre de la fonctionnalité Google Analytics, celles-ci ne suffisent pas à exclure la possibilité d’accès (violation des articles 44 et suivants du RGPD) des services de renseignements américains à ces données.

En Autriche, la CNIL locale a déterminé de son côté que Google Analytics violait, lui aussi, le règlement général sur la protection des données. Google Analytics communique les adresses IP des visiteurs de site web aux États-Unis. Les adresses IP représentent des données personnelles car elles permettent de suivre et retrouver une personne.

Autant dire que le défit n’est pas du côté de Google, mais des millions de webmasteurs, administrateurs de site web, utilisateurs de l’outil. Pour continuer à utiliser Google Analytics, tout en se conformant aux exigences du GDPR, la société Cloudflare propose la solution Zaraz (à une lettre prêt sur un clavier, cela fait zataz, comme le blog de référence en cybersécurité zataz.com). L’outil se veut un intermédiaire entre le navigateur et le serveur tiers.

Si l’on reprend l’exemple de Google Analytics, lors de la connexion à un site web, Zaraz chargera les outils dans le cloud en utilisant la plateforme Workers de la société américaine. En procédant ainsi, il n’y aura absolument aucune communication entre le navigateur et le point d’accès de Google. Les IP européennes sont ainsi bloquées en dehors de l’UE.

Par défaut, Zaraz ne sauvegarderait aucune information sur l’utilisateur final, à l’exception de la journalisation des erreurs. A noter que cet outil gère aussi d’autres traceurs comme ceux de Google Ads, Bing, Facebook pixel, Linkedin, etc.

Cybersécurité, Patch

Espionnage : Apple décide de modifier ses AirTag

12 février 2022 Damien Bancal

Le géant américain Apple va modifier ses traceurs AirTag afin d’empêcher les possibilités de cyber espionnage.

Fin novembre 2021, des cas de cybersurveillances avait été découverts au Canada. Des voleurs avaient détourné des AirTags d’Apple pour suivre à la trace des voitures qu’ils souhaitaient voler.

En décembre de la même année, la police locale s’était retrouvée à gérer cinq cas de vol dont le dispositif de repérage d’Apple avait été exploité pour suivre des véhicules. Bref, les pirates n’ont pas perdu de temps avec ce matériel sorti au printemps 2021.

La grosse pomme vient d’annoncer l’actualisation de son traceur AirTag. Mission annoncée, rendre l’object connecté plus sûre.

Dorénavant, les utilisateurs recevront une notification si un AirTag se trouve dans leur entourage depuis un certains temps. Le son du gadget sera aussi augmenté histoire de le repérer plus facilement.

A noter que les autorités peuvent demander à Apple l’identité du propriétaire d’un tracker Apple découvert.

APT, cyberattaque

Echapper aux espions : comment éviter de devenir une victime ?

12 février 2022 Damien Bancal

Nous pensons de manière générale qu’il est impossible de se protéger complètement des logiciels de surveillance professionnels. Les utilisateurs peuvent néanmoins prendre certaines mesures pour que les attaquants ne puissent pas les cibler aisément.

Pegasus, Chrysaor, Phantom et bien d’autres sont des logiciels dits de « surveillance légale », développés par des entreprises privées et largement déployés par le biais de divers exploits, dont plusieurs zero-days zero-click sur iOS. La version la plus ancienne de Pegasus a été identifiée par des chercheurs en 2016. Depuis lors, plus de 30 000 militants des droits de l’homme, journalistes et avocats à travers le monde pourraient avoir été ciblés à l’aide de Pegasus.

Conseils

Tout d’abord, il est important de redémarrer quotidiennement les appareils mobiles. Les redémarrages aident à « nettoyer » l’appareil, pour ainsi dire, ce qui signifie que les attaquants devront continuellement réinstaller Pegasus sur l’appareil, ce qui rend beaucoup plus probable la détection de l’infection par les solutions de sécurité.

Maintenez l’appareil mobile à jour et installez les derniers correctifs dès qu’ils sont disponibles. En fait, de nombreux kits d’exploitation ciblent des vulnérabilités déjà corrigées, mais ils restent dangereux pour les personnes qui utilisent des téléphones plus anciens et reportent les mises à jour.

Ne cliquez jamais sur les liens reçus par messages. Il s’agit d’un conseil simple mais efficace. Certains clients de Pegasus comptent davantage sur les exploits à 1 clic que sur ceux à zéro clic. Ceux-ci arrivent sous la forme d’un message, parfois par SMS, mais peuvent aussi se propager via d’autres messageries ou même par e-mail. Si vous recevez un SMS intéressant (ou par tout autre biais) avec un lien, ouvrez-le sur un ordinateur de bureau, de préférence en utilisant TOR Browser, ou mieux encore en utilisant un système d’exploitation non persistant sécurisé tel que Tails.

En outre, n’oubliez pas d’utiliser un autre navigateur web pour la recherche sur Internet. Certains exploits ne fonctionnent pas aussi bien sur les navigateurs alternatifs comme Firefox Focus par rapport aux navigateurs plus traditionnels comme Safari ou Google Chrome.

Utilisez systématiquement un VPN ; il est ainsi plus difficile pour les attaquants de cibler les utilisateurs en fonction de leur trafic internet. Lorsque vous souscrivez à un abonnement VPN, il y a quelques éléments à prendre en compte : recherchez des services établis qui existent depuis un certain temps, qui peuvent accepter le paiement avec des crypto-monnaies et qui ne vous demandent pas de fournir des informations d’enregistrement.

Installez une application de sécurité qui vérifie et prévient si l’appareil est soumis à un « jailbreak ». L’espionnage de votre téléphone peut débuter ainsi. Pour persister sur un appareil, les attaquants utilisant Pegasus auront souvent recours au jailbreak de l’appareil ciblé. Si un utilisateur a installé une solution de sécurité, il peut alors être alerté de l’attaque.

Si vous êtes un utilisateur iOS, déclenchez souvent des sysdiagnose et enregistrez-les dans des sauvegardes externes. Des analyses approfondies de l’objet malveillant peuvent vous aider à déterminer ultérieurement si vous avez été ciblé. Les experts de Kaspersky recommandent également aux utilisateurs iOS à risque de désactiver FaceTime et iMessage. Comme ils sont activés par défaut, il s’agit d’un mécanisme d’infection de premier plan pour les chaînes de zéro-clics et ce, depuis de nombreuses années.

En général, les attaques Pegasus sont très ciblées – ce qui signifie qu’elles n’infectent pas les gens en masse mais plutôt des catégories spécifiques. De nombreux journalistes, avocats et militants des droits de l’homme ont été identifiés comme des cibles de ces cyberattaques sophistiquées, mais ils ne sont pas toujours les plus équipés pour se défendre. C’est pourquoi, nous faisons de notre mieux pour fournir les meilleures techniques de protection contre les logiciels malveillants, les hackeurs et les menaces sophistiquées telles que celles-ci, afin de continuer à construire un monde plus sûr.

Troubler les assaillants

Changez d’appareil – si vous étiez sur iOS, essayez de passer à Android pendant un certain temps. Si vous étiez sur Android, passez à iOS. Cela pourrait dérouter les attaquants pendant un certain temps ; par exemple, certains acteurs malveillants sont connus pour avoir acheté des systèmes d’exploitation qui ne fonctionnent que sur certaines marques de téléphone et d’OS.

Procurez-vous un appareil secondaire, fonctionnant de préférence sous GrapheneOS, pour les communications sécurisées. Utilisez une carte SIM prépayée dans celui-ci, ou, ne vous connectez que par Wi-Fi et TOR en mode avion.

Évitez les messageries où vous devez fournir votre numéro de téléphone à vos contacts. Une fois qu’un attaquant a votre numéro de téléphone, il peut facilement vous cibler à travers plusieurs messageries différentes par ce biais – iMessage, WhatsApp, Signal, Telegram, ils sont tous liés à votre numéro de téléphone. Une nouvelle alternative pourrait être Session, qui achemine automatiquement vos messages à travers un réseau de type Onion et ne repose pas sur les numéros de téléphone.

« La sécurité n’est jamais une solution instantanée unique devenant une preuve fiable à 100 % ; considérez-la comme un cours d’eau qui coule et où vous devez ajuster votre navigation en fonction de la vitesse, des courants et des obstacles. » confirme Costin Raiu, responsable de l’équipe de recherche et d’analyse mondiale (GReAT) de Kaspersky.

cyberattaque, Securite informatique

326 millions de dollars volés en deux clics !

12 février 2022 Damien Bancal

La plateforme cryptographique Wormhole qui permet d’envoyer des cryptos vers d’autres blockchains se voit voler 326 millions de dollars.

Un pirate informatique a trouvé un exploit qui lui a permis de libérer 120 000 ETH sans aucun investissement.

La plateforme a déjà offert au hacker une prime de 10 millions de dollars. Il semble que s’il accepte l’offre, il s’agirait d’un versement de prime record dans l’histoire.

En utilisant l’exploit, le pirate a volé 120 000 jetons Ether enveloppés sur la blockchain Solana. Sur ces 120 000 jetons, il en a converti 80 000 en Ethereum et laissé le reste sur la blockchain Solana.

Le pirate n’a pas encore répondu à la proposition de la société. La société d’analyse de blockchain Elliptic lui offre une prime de 10 millions de dollars dans le cadre d’un « accord whitehat ».

Mais vu qu’il a déjà récupéré une partie de la somme, et vendue le reste, 10 millions de dollars ne semblent pas l’intéresser ! (voir ici, là et encore ici)

L’attaque Wormhole est désormais la deuxième plus grande cyberattaque contre les services DeFi, la plus importante a visé au mois d’août 2021 Poly Network, avec plus de 600 millions de dollars.

cyberattaque, Cybersécurité

Un ransomware attaque un partenaire d’Apple et de Tesla

12 février 2022 Damien Bancal

Les pirates du groupe CONTI met à mal l’un des principaux contractants d’Apple et de Tesla. Preuve une fois de plus que sécurité, éducation et règles de sauvegardes sont indispensables pour la continuité de service.

L’un des plus puissants groupes de ransomware, le groupe Conti (plus de 300 victimes à son actif) a pris en otage et chiffré la société Delta Electronics. Une entreprise à l’envergure internationale. Delta Electronics est l’un des sous-traitant d’Apple et de Tesla. Delta développe une large gamme de solutions électroniques avec un chiffre d’affaires annuel de plus de 7,7 milliards de dollars (2016).

Basée à Taïwan, l’entreprise emploie plus de 83 000 personnes dans le monde. Le site web de l’entreprise est resté plusieurs jours en « Maintenance du système« . Pas moins de 1 500 serveurs et 12 000 PC (65 000 PC au total sur le réseau) ont été bloqués. Les pirates ont demandé une rançon de 15 millions de dollars.

Autant dire qu’un cloud sécurisé ne fait pas de mal dans une telle situation pour remettre en place l’ensemble de son infrastructure, sans perte de productivité et de contacts avec ses partenaires, clients, etc…

Cybersécurité

Comment éviter les piratages informatiques et les mauvaises intentions ?

2 février 2022 Damien Bancal

Comme tout le monde, vous utilisez de plus en plus Internet dans votre entreprise ou dans votre vie privée et vous cherchez forcément à vous protéger des piratages ? Vous aimeriez mettre en place un maximum d’actions pour limiter les mauvaises intentions sur vos comptes sur Internet ? Entre solutions antivirus et logiciels adaptés, il existe de nombreuses options pour sécuriser vos comptes et données sur Internet. Découvrez comment éviter les piratages informations et les mauvaises intentions sur le web.

Utiliser des logiciels adaptés pour transmettre ses données

Tout d’abord, nous vous conseillons d’utiliser des logiciels adaptés afin de sécuriser vos transmissions de données. En effet, pour contrer les piratages, il existe aujourd’hui de nombreux logiciels qui se sont développés dans le but de sécuriser au maximum vos transferts ou stockages de données. Ainsi, vous pouvez par exemple rendre vos transmissions de données plus sûres en entreprise grâce aux solutions logiciels.

Vous pourrez alors transmettre et stocker vos notes de frais, documents comptables, informations sur vos clients ou encore documents personnels de façon beaucoup plus sécurisés. De plus, ces logiciels sont de véritables gestionnaires de vos documents et vont vous permettre de vous organiser au mieux et de gagner du temps. Tous vos documents seront stockés au même endroit et vous pourrez les consulter ou les partager en temps réel avec vos collaborateurs tout en bénéficiant de la sécurité mise en place par le logiciel dédié.

Installer un antivirus sur tous les postes de travail

Ensuite, il est évident qu’il est indispensable d’installer un bon antivirus sur tous les postes de travail que vous possédez. Pour votre ordinateur personnel ou pour les appareils de votre société, vous protégez des éventuelles intrusions dans votre PC est essentiel si vous souhaitez éviter au maximum les piratages informatiques ou les virus malveillants.
Il existe pour cela différentes solutions antivirus que vous pouvez acheter directement en ligne et qui vous protègeront efficacement. En fonction de vos besoins et de votre budget, nous vous conseillons de bien prendre le temps de comparer les différents logiciels antivirus disponibles sur le marché afin de trouver celui qui vous convient le mieux.

Quelques gestes simples pour limiter les risques de piratage

Ensuite, il existe quelques gestes simples qui permettent de limiter les risques de piratage de vos comptes sur Internet. Pensez par exemple à créer des mots de passe compliqués et à ne pas utiliser les mêmes sur tous les sites. Nous vous conseillons pour cela d’avoir recours à un gestionnaire de mots de passe. Ensuite, prendre le temps de maintenir tous vos logiciels et applications à jour vous permettra de limiter les risques de piratage.
Ne négligez donc pas de faire toutes les mises à jour qui vous sont régulièrement conseillées. Enfin, nous vous recommandons vivement de faire régulièrement des sauvegardes de vos documents si vous en gardez sur votre poste de travail. Malgré toutes les précautions, vous pouvez toujours avoir votre ordinateur endommagé par un virus et vous pourrez alors retrouver vos documents si vous les avez enregistrés ailleurs.

Et vous, quels sont vos conseils pour éviter les piratages informatiques et les mauvaises intentions sur Internet ?

Cybersécurité, Linux

Une vulnérabilité sévère affecte toutes les distributions Linux

1 février 2022 Damien Bancal

Des chercheurs annoncent la découverte d’une vulnérabilité par corruption de mémoire dans le composant pkexec de polkit, un utilitaire SUID accordant des privilèges racine aux utilisateurs et qui est installé par défaut sur les principales distributions Linux.

Le directeur du Lab Qualys déclare : « Nous continuons de dire que chaque nouvelle vulnérabilité sévère est un « coup de semonce », mais, dans les faits la communauté ne réagit pas. Pourtant, à l’ère des vulnérabilités Log4Shell, SolarWinds, MSFT Exchange, etc., il est essentiel que ces dernières soient rapportées de manière responsable et que, face à tel niveau de sévérité, elles soient corrigées et atténuées sans délai. »

Vu l’ampleur de la surface d’attaque de cette vulnérabilité à la fois sur des systèmes d’exploitation Linux et non Linux, Qualys recommande aux utilisateurs d’appliquer immédiatement les correctifs disponibles pour cette vulnérabilité. Les clients Qualys actifs peuvent rechercher la CVE-2021-4034 dans la base de connaissances des vulnérabilités pour localiser tous les identifiants QID et les actifs sensibles à cette vulnérabilité.

Divulgation de cette vulnérabilité pas à pas:

Information technique :
- Polkit (anciennement PolicyKit) est un programme qui permet de contrôler les privilèges système sur les systèmes d’exploitation de type Unix.
- Il permet aux processus non privilégiés de communiquer de manière organisée avec les processus privilégiés.
- polkit peut aussi être utilisé pour exécuter des commandes avec des privilèges élevés à l’aide de la commande pkexec suivi de la commande à exécuter (avec une permission racine).
Impact :
- Connue de toute la communauté depuis plus de 12 ans, cette vulnérabilité affecte toutes les versions de pkexec depuis sa toute première version qui remonte à mai 2009.
- S’il exploite cette vulnérabilité dans sa configuration par défaut, un utilisateur dépourvu de privilèges peut obtenir des privilèges racine complets sur un serveur vulnérable.
- Cette vulnérabilité est extrêmement grave car elle affecte toutes les principales distributions Linux et qu’elle est facilement exploitable, raison pour laquelle l’équipe de chercheurs Qualys ne publie pas l’exploit associé.
- Les chercheurs en sécurité Qualys ont pu, de manière indépendante, vérifier cette vulnérabilité, développer un exploit et obtenir des privilèges racine complets sur des installations par défaut de Ubuntu, Debian, Fedora et CentOS. D’autres distributions Linux sont vulnérables de la même manière et probablement exploitables.

Cybersécurité

Scanning Make Easy

30 janvier 2022 Damien Bancal

Scanning Make Easy : la collection de scripts NMAP de la cybersécurité britannique.

Le National Cyber Security Center du Royaume-Uni a partagé publiquement une collection de scripts NMAP permettant d’analyser les réseaux à la recherche de vulnérabilités. Mission, aider les professionnels de l’informatique à combler les lacunes en matière de sécurité.

Une initiative baptisée SME (Scanning Make Easy).

Bitcoin, Cybersécurité

BHUNT, voleurs de crypto wallet

23 janvier 2022 Contributeur Partenaire

BHUNT, une nouvelle famille de malwares voleurs de crypto wallet découverte.

Les analystes de de la société Bit’defender ont déterminé que BHUNT est un voleur de crypto-monnaies capable d’exfiltrer le contenu des portefeuilles (Bitcoin, Litecoin, Ethereum, Jaxx, Atomic, Electrum, Exodus) ainsi que les mots de passe stockés dans le navigateur et les phrases de passe capturées dans le presse-papiers utilisé pour récupérer les comptes.

Le flux d’exécution de BHUNT est différent de ce que l’on voit habituellement. Le malware utilise VMProtect et Themida comme packers qui utilisent une machine virtuelle logicielle pour émuler des parties du code sur un CPU virtuel dont le jeu d’instructions est différent de celui d’un CPU conventionnel, ce qui rend la rétro-ingénierie extrêmement difficile.

Principales conclusions

– BHUNT utilise des scripts de configuration chiffrés qui sont téléchargés depuis des pages publiques Pastebin.

– Les échantillons de BHUNT obtenus semblent avoir été signés numériquement avec un certificat numérique émis par une société de logiciels, mais le certificat numérique ne correspond pas aux binaires.

– Les serveurs responsables de l’exfiltration utilisent Hopto.org, un service DNS dynamique pour masquer les adresses IP.

– La campagne semble cibler les utilisateurs particuliers et est répartie de manière homogène sur le plan géographique.

Cybersécurité, Securite informatique

Cybersécurité : les pirates Russes loucheraient sur le Canada

23 janvier 2022 Damien Bancal

Le Centre Canadien pour la cybersécurité s’inquiète d’une augmentation d’activités de cybermenace qui pourraient être parrainées par de pirates Russes.

Mais que recherchent les pirates informatiques Russes sur le sol Canadiens ? Le froid ? Non, ils ont ! Les magnifiques étendues naturelles ? Non, ils ont aussi ! A première vue, selon le Centre Canadien pour la cybersécurité (L’ANSSI de nos cousins du Grand-Nord), ils loucheraient sur les infrastructures essentielles du Canada.

Parmi ces piratages, et ils ne sont pas que Russes à se pencher sur le Canada, infiltrer pour voler des données ; rançonner à coup de ransomware et réclamer une rançon ; jouer avec les cours de l’Energie en tentant de bloquer la production. « Le Centre canadien pour la cybersécurité (CCC) encourage la communauté canadienne de la cybersécurité, surtout les responsables de la défense des réseaux des IE, à prendre des mesures proactives de surveillance et d’atténuation sur les réseaux.«

Le CCC rappel aussi que se doter « d’un plan d’intervention en cas de cyber incident, d’un plan de continuité des activités et d’un plan de communication, et se préparer à les appliquer » ne doit plus être une option.

Parmi les dernières victimes repérées par Data Security Breach, la société Medical Pharmacies, un leader en matière de gestion des médicaments, de services pharmaceutiques spécialisés et de fourniture de matériel et d’équipement médicaux à l’industrie canadienne des soins de santé. Le groupe de pirates Snatch a volé pour plus de 100 GB d’informations internes et diffusé plus de 260 Mo.

cyberattaque, Mise à jour

Patch Tuesday Janvier 2022

22 janvier 2022 Damien Bancal

Microsoft a corrigé 126 vulnérabilités dont 9 sont classées comme critiques. Au moment de la publication de cette analyse aucune des 126 vulnérabilités n’est exploitée de manière active. Microsoft a dans ses logiciels, dont des vulnérabilités exploitées par exécution de code à distance (RCE), des failles de sécurité facilitant une élévation de privilèges, l‘usurpation d’identité et de déni de service (DoS).

Vulnérabilités Microsoft critiques corrigées

CVE-2022-21907 – Vulnérabilité par exécution de code à distance dans la pile du protocole HTTP

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10. Elle affecte les serveurs Windows configurés comme serveurs Web. Pour exploiter cette vulnérabilité, un attaquant non authentifié peut envoyer une requête fabriquée de toute pièce vers un serveur vulnérable en s’appuyant sur la pile du protocole HTTP pour traiter des paquets. Cette vulnérabilité est connue pour se propager sous la forme de vers. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-21849 – Vulnérabilité par exécution de code à distance dans le composant IKE Extension de Windows

Affichant un score de sévérité CVSSv3.1 de 9,8/10, cette vulnérabilité affecte les systèmes fonctionnant avec la version 2 du composant IKE (Internet Key Exchange). Même si pour l’instant peu d’informations sont disponibles sur cette vulnérabilité, un attaquant à distance peut déclencher plusieurs vulnérabilités lorsque le service IPSec est exécuté sur le système Windows, sans besoin d’être identifié. Évaluation d’exploitabilité : Exploitation moins probable.

CVE-2022-21846 – Vulnérabilité par exécution de code à distance sur Microsoft Exchange Server

Cette vulnérabilité a été découverte et signalée à Microsoft par la NSA (National Security Agency). Elle affiche un score de sévérité CVSSv3.1 de 9,0/10. L’attaque associée à cette vulnérabilité se limite au niveau protocolaire à une topologie logiquement adjacente. Elle ne peut donc tout simplement pas être lancée sur Internet et doit plutôt s’appuyer sur un élément spécifiquement lié à la cible, par exemple un même réseau physique partagé (Bluetooth ou IEEE 802.11 notamment), un réseau logique (par ex. un sous-réseau IP local) ou depuis un domaine administratif sécurisé ou limité (par exemple MPLS, un VPN sécurisé vers une zone administrative du réseau). De nombreuses attaques exigeant des configurations de type Man-in-the-middle ou tributaires d’un ancrage dans un autre environnement fonctionnent de la sorte. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-21837 – Vulnérabilité par exécution de code à distance sur Microsoft SharePoint Server

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,3/10. Un attaquant peut exploiter cette vulnérabilité pour accéder au domaine puis exécuter du code à distance sur le serveur SharePoint pour s’élever lui-même au rang d’administrateur SharePoint. Évaluation d’exploitabilité : Exploitation moins probable.

CVE-2022-21840 – Vulnérabilité par exécution de code à distance dans Microsoft Office

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Elle ne peut être exploitée que si l’utilisateur ciblé ouvre un fichier malveillant.

Dans un scénario d’attaque par email, l’attaquant exploitera la vulnérabilité en envoyant un fichier malveillant spécifique sur la messagerie de la cible avant de le convaincre de l’ouvrir.

L’attaquant peut aussi héberger un site Web (ou utiliser un site Web compromis qui accepte ou héberge du contenu fourni par un utilisateur) qui contient un fichier malveillant personnalisé pour exploiter une vulnérabilité dans le cas d’une d’attaque via le Web. Évaluation d’exploitabilité :Exploitation moins probable.

Adobe Patch Tuesday – Janvier 2022

Adobe a publié des mises à jour pour corriger 41 CVE affectant Adobe Acrobat et Reader, Bridge, Illustrator, InCopy et InDesign. Parmi ces 41 vulnérabilités, 22 sont considérées comme critiques. Adobe a publié des mises à jour de sécurité pour Adobe Acrobat et Reader pour Windows et macOS qui permettent de corriger de nombreuses vulnérabilités critiques, importantes et modérées. L’exploitation réussie de ces vulnérabilités pourrait entraîner l’exécution de code arbitraire, une fuite de mémoire, un déni de service de type applicatif ainsi qu’un contournement des fonctions de sécurité et une élévation de privilèges.

Mise à jour

Outils de production et chaînes industrielles

10 janvier 2022 Damien Bancal

Focus sur deux axes principaux de vulnérabilités : Outils de production et chaînes industrielles, et évolutions des processus de gestion des actifs avec le télétravail

Si l’on se réfère à la source CVE Details, 2021 aura été l’année de la découverte du plus grand nombre de vulnérabilités logicielles, qu’il s’agisse de problèmes mineurs concernant des solutions logicielles de niche ou d’incidents critiques affectant des millions d’actifs informatiques. En parallèle, les entreprises auront dû gérer la sécurité sur les équipements distants, les services Cloud et les plateformes informatiques traditionnelles en raison du tumulte provoqué par la pandémie COVID-19.

En 2022, les entreprises seront contraintes de moderniser leurs processus pour gérer la sécurité. Cela implique notamment que l’équipe chargée de la sécurité IT endosse davantage de responsabilités dans d’autres domaines technologiques. Parmi les solutions, et elles sont nombreuses, se pencher sur les avantages d’un logiciel sur mesure.

Le télétravail a initié la nécessaire évolution des processus de gestion des actifs.

Avec le télétravail les équipes informatiques se sont adaptées aux nombreuses entreprises qui ont dû faire évoluer leurs pratiques opérationnelles en matière de sécurité alors que leurs employés achetaient de nouveaux équipements ou logiciels afin de pouvoir travailler à distance. Dans la panique, les programmes d’inventaire des actifs en place ont été ignorés et les équipes chargées des opérations et de la sécurité informatiques ont donc perdu la visibilité sur ce qui existait en raison des actifs qui n’étaient plus sur le réseau de l’entreprise. C’est donc la sécurité en général qui a souffert de cette situation.

Aujourd’hui, les employés se sont installés dans la routine du télétravail. Cependant, les entreprises restent dans le même mode urgence lorsqu’il s’agit de sécurité, plutôt que d’envisager cette dernière comme faisant partie intégrante des opérations quotidiennes de l’entreprise. Croiser des employés, dans des chambres d’hôtes, d’hôtel et ne pas faire attention à leur cyber est un risque qu’il n’est plus possible d’ignorer. Les « logeurs » doivent prendre en compte leur sécurité informatique. Un vecteur qui rassurera les futurs clients. Il existe du logiciel pour chambre d’hôtes qui font parfaitement l’affaire.

La sécurité est mise à mal lorsque l’entreprise ne dispose pas d’un inventaire des actifs actualisé qui indique les points d’extrémité existants, à savoir ceux qui restent sur le réseau de l’entreprise et ceux à distance. En 2022 ces entreprises seront mises en difficulté car certaines comptent sur un retour à la normale qui ne se produira sans doute pas. Les équipes doivent donc repenser leurs stratégie et processus pour prendre en charge en priorité leurs collaborateurs distants et appliquer la même approche aux différents sites de l’entreprise.

Les inventaires des actifs sont précis … et alors ?

Cette nouvelle priorité accordée à une gestion universelle, homogène et permanente des actifs est l’objectif que toutes les équipes de sécurité devraient se fixer. Cependant, la réalité de la conception et des responsabilités organisationnelles peut poser un frein, pourtant l’évolution vers le télétravail oblige à réviser les processus de gestion des mises à jour et de déploiement des correctifs.

Cela ne concerne pas tant la technologie que le mode de collaboration des équipes pour gérer les correctifs et les mises à jour des activités opérationnelles. Pour les plus grandes entreprises, cette tâche peut s’avérer difficile lorsqu’elle implique plusieurs équipes, et si il y a plusieurs entités à gérer avec différentes parties prenantes sur les décisions.

Les entreprises peuvent faire bouger les lignes en se penchant notamment sur l’intérêt de l’informatique pour l’activité de l’entreprise. Par exemple, faire de la sécurité une priorité métier est un sujet évoqué depuis des décennies. L’augmentation des attaques par ransomware et les coûts élevés associés, obligera les entreprises à prendre ce sujet à-bras-le-corps tandis que les décideurs définiront davantage d’objectifs pour garantir la sécurité de leurs systèmes. Aussi, responsabiliser les dirigeants notamment au déploiement des mises à jour permet de promouvoir cette approche de la gestion des risques métier.

Les machines et réseaux industriels devront s’aligner sur la sécurité informatique

Cette année, Gartner prévoit que les cyberattaquants se serviront des environnements à technologie d’exploitation (OT) comme armes pour cibler les humains d’ici 2025. Il est à craindre que cela arrive plus tôt, dès 2022. Le décès d’un nouveau-né en 2021 a par exemple été attribué à une attaque par ransomware contre un hôpital américain, dont l’ensemble de l’informatique était hors service. Davantage d’attaques ciblant des systèmes OT auront lieu et toucheront des infrastructures critiques si ces systèmes ne sont pas protégés de manière appropriée.

Or, les environnements OT reposent généralement sur des technologies obsolètes. Coûteux et devant durer des années, nombre de ces actifs présentent des failles de sécurité connues mais jamais corrigées, notamment parce que mettre à l’arrêt la chaîne de production pour appliquer un correctif peut coûter plusieurs millions d’euros en perte de productivité. De plus, il n’existe pas toujours de correctifs pour des failles qui affectent des équipements en fin de vie.

La protection de ces systèmes s’est traditionnellement appuyée sur l’air gapping, une mesure de sécurité qui permet notamment d’isoler complètement un réseau de l’Internet public. Aujourd’hui, les entreprises ne peuvent plus se passer de cette option car elles souhaitent exploiter en temps réel les données fournies par leurs systèmes pour mieux se positionner face à la concurrence, et ce malgré les risques liés à l’interconnexion de toujours plus de réseaux OT. En outre, de récentes recherches indiquent l’existence de nouveaux modes opératoires destinés à établir une passerelle avec les mesures d’air gapping si bien que s’en remettre aux seuls modèles de sécurité traditionnels ne suffit plus.

Des années durant, la technologie d’exploitation a été totalement tenue à l’écart de l’IT, au point que les équipes informatiques avaient du mal à comprendre ce qui était utilisé et à identifier les menaces. Dans la pratique, la sécurité OT a une décennie de retard par rapport à la sécurité informatique en matière de conception de bonnes pratiques et de processus. En 2022, la soif de données et les risques d’attaque contraindront à investir davantage pour renforcer cet aspect.

Les équipes en charge de la sécurité informatique seront sollicitées pour s’investir dans ce domaine car ce sont elles qui comprennent le mieux le paysage évolutif des menaces. L’entière collaboration de toutes les équipes sera requise, conditionnée par une vision globale de l’ensemble des actifs connectés, qu’il s’agisse du Cloud et des conteneurs qui peuvent être mis à jour en quelques secondes ou d’actifs OT déployés depuis des années et qui n’évolueront pas dans l’immédiat.

Définir les processus et les pratiques de sécurité qui prendront en compte tous ces actifs exigera de mettre en place une stratégie de gestion des risques adaptée. La même approche ne pourra pas être appliquée partout et définir des priorités sera indispensable au succès de cette stratégie. Il s’agira d’un travail nécessaire pour prévenir d’autres incidents comme les cyberattaques lancées contre l’opérateur américain d’oléoducs Colonial Pipeline et des établissements de santé.

En 2022, les attaques par ransomware affecteront plus souvent les actifs OT. Les cyberassureurs sont en train de revoir leur couverture concernant les attaques par ransomware afin que les entreprises ne puissent plus se reposer sur leur police d’assurance pour la prise en charge des frais. En lieu et place, les entreprises devront reconnaître l’existence de risques métier et les résoudre au lieu de se contenter de les consigner dans un registre et de faire le gros dos pour qu’une violation ne se produise pas. (Paul Baird, CTSO UK, Qualys)

Cybersécurité

Vol d’identifiant de connexion

29 décembre 2021 Contributeur Partenaire

Découverte d’un problème de sécurité dans un logiciel censé fournir des fonctions supplémentaires aux serveurs Web Microsoft. Des pirates seraient capable de voler les identifiants saisis lors d’une connexion à Outlook Web Access (OWA) via une faille exploitée dans un nouveau module IIS.

Baptisé Owowa, ce module IIS a été compilé entre fin 2020 et avril 2021. Il permet à des pirates d’accéder à distance au serveur sous-jacent. Cela constitue une méthode de vol furtive difficile à détecter via la surveillance du réseau. Résistant également aux mises à jour logicielles d’Exchange, il peut rester longtemps caché sur un appareil.

En 2021, les groupes de malveillants ont intensifié leur exploitation des vulnérabilités Microsoft Exchange Server. En mars 2021 par exemple, quatre failles critiques de serveurs ont permis aux black hat d’accéder à tous les comptes de messagerie enregistrés et d’exécuter du code arbitraire.

En recherchant d’autres implants potentiellement frauduleux dans Exchange, les experts ont découvert un module malveillant qui permet aux hackers malveillant de voler les identifiants de connexion à Outlook Web Access et d’exercer un contrôle à distance sur le serveur sous-jacent. Les fonctionnalités malveillantes de ce malware baptisé Owowa se déploient facilement via l’envoi de demandes d’apparence inoffensive, en l’occurrence des requêtes d’authentification OWA.

Bref, autant dire qu’un antivirus pour Windows est plus que nécessaire pour palier toute tentatives d’infiltration d’un code malveillant.

Les experts pensent que les cibles de cet outil pirate sont basés en Asie, et plus précisément en Malaisie, en Mongolie, en Indonésie et aux Philippines. La plupart étaient liées à des organisations gouvernementales et une autre à une société de transport d’État. Il est probable que d’autres victimes soient basées dans le monde depuis.

« Owowa est particulièrement dangereux car un attaquant peut l’utiliser pour voler passivement les identifiants d’utilisateurs qui accèdent légitimement à des services Web. C’est un moyen bien plus discret d’obtenir un accès à distance que l’envoi d’un e-mail de phishing. De plus, même si des outils de configuration IIS peuvent détecter ce type de menace, ils ne sont pas intégrés aux activités standard de surveillance des fichiers et des réseaux. Par conséquent, Owowa peut facilement passer inaperçu », souligne Pierre Delcher, Senior Security Researcher au sein de la Global Research and Analysis Team (GReAT).

« Puisque Owowa est un module IIS, il se maintient même en cas de mise à jour de Microsoft Exchange. La bonne nouvelle est que les attaques ne semblent pas très sophistiquées. Les entreprises doivent surveiller de près les serveurs Exchange, qui sont particulièrement sensibles et contiennent tous leurs échanges d’e-mails. Nous recommandons également de considérer tous les modules en cours d’exécution comme critiques et de les vérifier régulièrement », ajoute Paul Rascagneres, Senior Security Researcher, GReAT.

Cybersécurité

Ce que la cybersécurité a à apprendre des jeux vidéo

16 décembre 2021 Damien Bancal

Les moyens mis en œuvre pour protéger la sécurité numérique des personnes et des États ne cessent d’évoluer avec le temps. Pour améliorer ces performances, les professionnels de la cybersécurité peuvent se tourner vers un secteur riche en enseignements, celui des jeux vidéo.

Le problèmes des outils de cybersécurité

Pour garantir notre protection, de nouvelles solutions de sécurité sont proposées chaque année par les industriels. Ces solutions, souvent faillibles, peinent à convaincre les utilisateurs puisqu’elles ne permettent pas une réelle implication de l’utilisateur. Pour s’améliorer, l’industrie de la cybersécurité devrait peut-être s’inspirer des règles et pratiques des jeux vidéo.

Les jeux vidéo et l’implication de l’utilisateur

Parmi les caractéristiques des jeux vidéo, et les raisons de la fidélité des joueurs, on trouve en premier lieu la notion de gameplay. Il s’agit de la sensation tactique et de l’interaction du joueur avec le jeu, en dehors des effets visuels et sonores. De la qualité du gameplay dépend le succès du jeu vidéo. S’inspirer de ce concept signifierait pour les industriels de la cybersécurité proposer des outils engageants pour l’utilisateur. En étant l’acteur de sa propre protection, il prendrait conscience de l’importance de perdre certaines mauvaises habitudes.

La force de la communauté des joueurs et l’ensemble des stratégies élaborées, notamment dans les jeux PVP comme Mech Arena ou Total Domination, sont un autre aspect à exploiter pour améliorer les performances des outils de protection numérique. La logique, la ténacité et la vigilance des joueurs sont autant d’attributs à transposer chez les utilisateurs de produits virtuels.

Les jeux RTS, une source d’inspiration méconnue

La cybersécurité et les jeux RTS, des principes communs

Parmi les nombreux types de jeux vidéo, il y en a un dont les mécanismes sont particulièrement intéressants pour la cybersécurité : les jeux RTS (Real-Time Strategy) ou STR en français (Stratégie en Temps Réel). Le principe de ces jeux est de construire des structures et des unités dans le but d’acquérir des ressources pour défendre les zones contrôlées par le joueur en temps réel.

Les similarités entre jeux RTS et protection numérique traditionnelle

Les principes et pratiques des jeux RTS rappellent les règles du monde de la cybersécurité. Dans les deux cas, l’utilisateur doit comprendre la nature du terrain ou de la structure, construire et gérer des structures ou des logiciels, prioriser les alertes et les attaques, gérer les ressources, évoluer dans un climat d’incertitude et maîtriser le micro management et le macro management.

Les différences entre la cybersécurité et les jeux RTS

Si ces similarités sont frappantes, les différences entre ces deux univers le sont tout autant puisqu’il est facile d’apprendre les règles des jeux RTS, mais très difficile de comprendre celles de la cybersécurité. De même, il est difficile de se défendre en équipe dans le monde réel alors que c’est la base des jeux vidéo. Et bien sûr, ne pas réussir à contrer une attaque dans un jeu RTS ne fait que redémarrer la partie, tandis que les conséquences sont bien plus graves lorsqu’il s’agit d’une agression dans la réalité.
En fait, ce sont ces différences qui devraient inspirer les concepteurs d’outils de protection numérique. En faisant des utilisateurs les acteurs de leur propre sécurité et en leur permettant d’apprendre rapidement et facilement les règles de la protection numérique, un grand nombre de menaces et d’attaques pourraient facilement être parées au quotidien.

Le monde de la cybersécurité a tout à gagner à tirer des enseignements d’autres secteurs, notamment ceux du divertissement, pour améliorer la performance de ses produits.

Cybersécurité

83 vulnérabilités Microsoft dont 7 critiques et 1 activement exploitée

16 décembre 2021 Damien Bancal

Patch Tuesday Microsoft & Adobe – 83 vulnérabilités Microsoft dont 7 critiques et 1 activement exploitée. 60 vulnérabilités Adobe dont 28 critiques.

Microsoft corrige 83 vulnérabilités avec la publication de son Patch Tuesday de décembre 2021, dont 5 classées comme critiques. L’édition de décembre corrige aussi une vulnérabilité Zero-Day activement exploitée. Les produits concernés par la mise à jour de sécurité de décembre de Microsoft sont Microsoft Office, Microsoft PowerShell, le navigateur Microsoft Edge basé sur Chromium, le noyau Windows, le spooler d’impression et le client du service Bureau à distance. Microsoft corrige des problèmes dans les logiciels, y compris des vulnérabilités par exécution de code à distance (RCE), des failles de sécurité facilitant une élévation des privilèges ainsi que des problèmes d’usurpation et de déni de service.

Vulnérabilités Microsoft à prioriser et corriger… rapidement.

CVE-2021-43890 | Vulnérabilité d’usurpation d’identité dans le programme Windows d’installation de paquets AppX.

Cette vulnérabilité CVSS 7.1 est un Zero-Day identifié comme une vulnérabilité d’usurpation d’identité activement exploitée dans le programme d’installation de logiciels AppX et qui affecte Microsoft Windows. Microsoft a identifié des attaques qui tentent d’exploiter cette vulnérabilité en utilisant des paquets malveillants comprenant la famille de malware Emotet/Trickbot/Bazaloader.

Un attaquant peut créer une pièce jointe malveillante qui sera ensuite utilisée pour des campagnes de phishing. Il suffira ensuite à l’attaquant de persuader l’utilisateur ciblé d’ouvrir cette pièce jointe malveillante. Les utilisateurs dont les comptes sont configurés pour avoir moins de droits utilisateur sur le système seront moins impactés que les utilisateurs ayant des droits administratifs.

CVE-2021-43215 | Vulnérabilité de corruption de mémoire sur le serveur iSNS pouvant entraîner l’exécution de code à distance

Cette vulnérabilité d’exécution de code à distance (RCE) cible le protocole Internet Storage Name Service (iSNS) qui facilite les interactions entre les serveurs et les clients iSNS. Un attaquant peut envoyer une requête malveillante au serveur iSNS pour déclencher une exécution de code à distance. Avec un score de sévérité CVSS de 9,8, cette vulnérabilité critique doit être corrigée en priorité.

CVE-2021-43217 | Vulnérabilité d’exécution de code à distance dans le système de chiffrement de fichiers EFS de Windows.

Il s’agit d’une vulnérabilité RCE qui cible le système de chiffrement de fichiers (EFS) et qui permet à un attaquant de provoquer un débordement de tampon d’écriture entraînant une exécution de code non mis en bac à sable et non authentifié. Avec un score de sévérité CVSS de 8,1, il s’agit d’une vulnérabilité à corriger rapidement.

Microsoft est en train de résoudre cette vulnérabilité via un déploiement en deux temps. Ces mises à jour corrigent la vulnérabilité en modifiant la manière dont le système EFS établit les connexions depuis le client vers le serveur.

Pour obtenir des conseils sur la façon de gérer les modifications requises pour cette vulnérabilité et pour en savoir plus sur le déploiement par étapes, se reporter à l’article KB5009763: EFS security hardening changes in CVE-2021-43217.

Lorsque la deuxième phase de mises à jour Windows sera disponible au cours du premier trimestre 2022, les clients seront avertis au moyen d’une révision de cette vulnérabilité de sécurité. Pour être avertis de la disponibilité de cette mises à jour, nous vous invitons à vous inscrire à la liste de diffusion des avis de sécurité qui vous tiendra informés des modifications de contenu qui seront apportées à cet avis. Voir les avis de sécurité technique de Microsoft (Microsoft Technical Security Notifications).

CVE-2021-43905 | Vulnérabilité d’exécution de code à distance dans les applications Microsoft Office

Il s’agit là d’une vulnérabilité d’exécution de code à distance (RCE) non authentifiée dans les applications Microsoft Office. À corriger rapidement car elle affiche un score de sévérité de 9,6.

CVE-2021-41333 | Vulnérabilité d’élévation de privilèges dans le spooler d’impression Windows

Cette vulnérabilité d’élévation de privilèges dans le spooler d’impression Windows qui a été rendue publique peut être facilement attaquée si bien qu’avec un score de sévérité de 7,8 cette vulnérabilité doit être corrigée rapidement.

CVE-2021-43233 | Vulnérabilité d’exécution de code à distance sur le client Bureau à distance

Cette vulnérabilité RCE critique contenue dans le déploiement mensuel de Windows doit elle aussi être corrigée rapidement en raison d’un score de sévérité de 7,5.

Adobe Patch Tuesday – Décembre 2021

À l’occasion de ce Patch Tuesday, Adobe a publié 11 mises à jour de sécurité pour ses produits qui permettent de corriger 60 vulnérabilités CVE dont 28 sont classées comme critiques et qui impactent les produits Adobe After Effects, Dimension, Experience Manager, Media Encoder, Photoshop, Prelude, ainsi que Premiere Pro et Rush.

Cybersécurité

Hébergement : penser budget cybersécurité

9 décembre 2021 Damien Bancal

Planifier son budget cybersécurité ne doit plus être une option. Dans ce dernier, la ligne « hébergement » sécurisé doit y figurer parmi les premières places avec l’humain et les experts appropriés.

Les RSSI européens augmentent leurs investissements pour sécuriser la transition de leur organisation vers le cloud public et fournissent de plus en plus de contrôles de sécurité à partir du cloud. Qui dit cloud, dit hébergement, et qui dit hébergement impose obligatoirement de suivre des règles tels que le Règlement Général des Données Personnelles (RGPD), du pentest pour s’assurer de ne pas finir avec l’ensemble de ses données dans les méandres du web, etc… Pour vous pencher sur cette question cliquez ici pour avoir des pistes d’une sélection possible pour vos besoins.

Des dépenses stratégiques

Les responsables de la sécurité européens maintiennent également les changements antérieurs vers les dépenses des fournisseurs de services gérés et des sociétés de conseil pour les aider à réaliser leurs priorités stratégiques.

Forrester, dans sa dernière étude donne d’ailleurs un aperçu de la planification des budgets de cybersécurité en Europe pour 2021 et 2022. On y découvre, par exemple, que jusqu’à 15% des dirigeants interrogés ont décidé d’établir une stratégie cybersécurité pour le hébergement, leur cloud (laas, Paas, SaaS).

Le référentiel Européen

L’enjeu de souveraineté numérique face aux géants du web (GAFAM) est plus qu’évidente. Choisir son hébergement face à cet élément stratégique, politique et sociétale est indispensable. Choisir ses infrastructures et autres points d’accès web hors des murs européens, et encore mieux français ne doit plus être option pour le choix de son hébergement. Il en va de l’indépendance numérique de vos données et de celles de vos clients.

Pour finir, l’objectif du gouvernement français de sécuriser à la fois les process, la technique et la gestion juridique des services d’hébergement et cloud des entreprises françaises est à prendre en compte. Le nouveau label “Label du Cloud de Confiance” est gage de qualité, de confiance et de cybersécurité. Seules les entreprises possédant déjà la qualification SecNumCloud peuvent espérer le recevoir. Ce label ++ démontre l’indépendance du récipiendaire vis-à-vis des lois non européennes, comme le très intrusif patriot act américain.

ID, Securite informatique, Téléphonie

Google Map : suivi à la trace !

3 décembre 2021 Damien Bancal

Vous êtes nombreux à demander si Google et Google map étaient capable de suivre, à la trace, vos moindres faits et gestes. En voici une réponse, en image !

Des manifestations ont eu lieu aux États-Unis plus tôt cette année – des « supporters » de Trump en colère ont envahi le Capitole. Des activistes de la droite dure américaine voyant d’un mauvais œil la démocratie électorale mettre à la porte Donald Trump. Beaucoup de ces « révolutionnaires » sont encore en procès.

Selon les journalistes de WIRED qui ont étudié ces affaires de près quelques mois plus tôt, les données de géolocalisation de Google ont permis d’arrêter 45 personnes qui étaient apparemment impliquées dans les manifestations.

Où je veux en venir ? Voici de quoi il s’agit. L’autre jour, ils ont publié des documents sur l’un des défendeurs. Sur la carte ci-dessous, vous pouvez voir 57 points qui enregistrent les mouvements d’une personne dans le bâtiment.

Si vous vous êtes déjà demandé comment des données précises vous concernant peuvent être collectées par toutes ces applications qui demandent l’accès à la géolocalisation, vous voici avec la réponse.

Cybersécurité, Entreprise

1 employé sur 10 respecte la cybersécurité de son entreprise !

1 décembre 2021 Contributeur Partenaire

Plus d’un tiers des travailleurs à distance ignore ou contourne les règles de cybersécurité de leur organisation. Seuls 16 % des travailleurs français à distance appliqueraient strictement les politiques de sécurité de leur entreprise.

Une étude baptisée « Au-delà des frontières : l’avenir de la cybersécurité dans le nouveau monde du travail » met en évidence les risques introduits par les employés français lorsqu’ils travaillent à distance. Lorsque Forrester Consulting, qui a réalisé l’étude pour Tenable, a demandé aux entreprises si elles étaient convaincus du respect des mesures cybersécurité de leurs employés, 39 % des responsables de la sécurité et des dirigeants d’entreprise ont répondu qu’ils étaient très ou complètement convaincus. Cependant, 34 % des employées assurent ignorer ou contourner ces mêmes mesures prises par l’entreprise.

Les entretiens réalisés avec les employés à distance ont montré une image différente de ce à quoi s’attendaient les dirigeants et les responsables IT. Lorsqu’on leur a demandé ce qui était important pour eux, 82 % des employés français travaillant à distance ont répondu que la protection des données des clients était assez ou très importante. Cependant, 64 % d’entre eux ont déclaré utiliser un appareil personnel pour accéder à ces informations. La situation est similaire en ce qui concerne la protection de la propriété intellectuelle de l’entreprise : 66 % des employés distants ont déclaré qu’elle était importante, tandis que 30 % utilisent un appareil personnel pour y accéder. En fait, seuls 61 % des employés à distance déclarent suivre systématiquement les mesures de protection des données, de la propriété intellectuelle et des systèmes de leur entreprise lorsqu’ils travaillent à domicile.

En creusant un peu plus, l’étude montre que seuls 18 % des employés à distance respectaient strictement les mandats de leur entreprise en matière de restriction d’accès aux données et aux systèmes via des appareils personnels. Cette situation est préoccupante si l’on considère que seulement 32 % des responsables de la sécurité estiment avoir une visibilité élevée ou complète sur les appareils appartenant aux employés. Le plus inquiétant est peut-être que 34 % des employés ont déclaré qu’ils ignoreraient ou contourneraient les politiques de cybersécurité de leur organisation, tandis que 36 % ont déclaré que l’un des défis auxquels ils étaient confrontés était le manque de clarté des politiques et pratiques de sécurité de leur organisation. Des données internes, professionnelles que les pirates adorent ! Le Service Veille de ZATAZ a d’ailleurs reçu, il y a quelques jours, un cadeau d’une société (qui en a profité pour souscrire un abonnement, merci 🙂 à la suite d’une découverte du SVZ : des données internes qui servaient à la préparation d’une fraude au président. Les factures et les informations incluent dans l’ensemble des documents étaient exploités, au téléphone, par un/des escroc(s).

« Les employés veulent avoir la possibilité de travailler de n’importe où. Le défi est de savoir comment ils peuvent le faire en toute sécurité, explique David Cummins, vice-président de la région EMEA chez Tenable. Cette étude confirme ce que nous soupçonnons déjà : les employés distants se connectent à des informations sensibles de l’entreprise à partir d’appareils personnels sur des réseaux domestiques non sécurisés. Les équipes de sécurité doivent accepter cette réalité et changer leur perception du risque. Elles ont besoin d’une visibilité sur l’ensemble du paysage des menaces et disposer de l’intelligence nécessaire pour prévoir les cybermenaces qui auront le plus grand impact sur l’entreprise. En tandem, elles doivent également mettre en œuvre des profils de risque adaptatifs pour les utilisateurs afin de surveiller et de vérifier en permanence chaque tentative d’accès aux données de l’entreprise, avec la possibilité de refuser les demandes qui ne répondent pas aux règles établies. »

cyberattaque, Social engineering

Fraude au président : une arnaque qui profite de l’essor du télétravail

1 décembre 2021 Damien Bancal

La fraude au président est devenue l’une des principales cyberattaques dans le monde. La fraude au président a profité de l’essor massif du télétravail en 2020 pour se développer.

Selon le baromètre 2020 “Etude sur la fraude” du cabinet Euler Hermes, la fraude au président est devenue l’une des principales cyberattaques dans le monde (la troisième d’après le cabinet). Cette escroquerie, qui a recours à l’usurpation d’identité des dirigeants d’entreprise, est en hausse notable et est mentionnée par 38% des entreprises ayant répondu à l’étude. Tout comme les rançongiciels, la fraude au président a profité de l’essor massif du télétravail en 2020 pour se développer. Si, dans le cas des rançongiciels, ce sont les technologies d’accès à distance qui ne sont pas adaptées au télétravail, ici c’est le manque d’interactions sociales en présentiel et de communication qui est l’une des causes majeures de la multiplication de ce type d’arnaque.

Comment se déroule une fraude au président ?

Dans le cadre de la fraude au président, un escroc qui a préalablement fait des recherches sur l’entreprise cible se fait passer pour le PDG ou pour un administrateur pour demander, par e-mail, au comptable de la société, un virement bancaire pour une opération confidentielle et urgente. Cet escroc usurpe ainsi l’identité d’une personne de confiance, via une adresse e-mail créée pour l’occasion, et s’adresse directement au bon interlocuteur (le comptable). Cette tâche apparaissant comme urgente, la personne contactée va parfois s’exécuter sans prendre le temps de la réflexion et, puisqu’il s’agit d’une opération confidentielle, elle n’en parlera pas à ses collègues et n’éveillera donc pas les soupçons. En décembre 2020, le CDER, l’une des associations de gestion et comptabilité les plus importantes en France, a subi une attaque de ce type avec un préjudice annoncé de 14,76 M€ (source : L’Union). La comptable de l’association a été licenciée pour faute grave pour avoir “contourné les procédures internes.

“Suite à la pandémie et la mise en place du télétravail au sein des organisations, de nombreux collaborateurs travaillent depuis chez eux au moins une partie de la semaine. En conséquence, une forte diminution voire une absence d’interactions et de discussions de vive voix avec les dirigeants et administrateurs. Les échanges à distance se sont multipliés et les opérations qui avaient pour habitude d’être confirmées ou évoquées en présentiel ont fait place à des réponses par simples emails qui, dans le cas d’une fraude au président réussie, engendrent des dommages irréversibles”, explique Christophe Corne, de Systancia.

Quelques bonnes pratiques pour s’en prémunir

La gendarmerie nationale, la Direction Générale du Renseignement Intérieur, l’ANSSI, votre serviteur ne cessent d’expliquer comment ne pas se faire « filouter ». Seulement, rien de plus aveugle et sourde qu’une personne qui ne pense que cela n’arrive qu’aux autres. Le Service Veille de ZATAZ a d’ailleurs reçu, il y a quelques jours, un cadeau d’une société (qui en a profité pour souscrire un abonnement, merci 🙂 aprés que le SVZ a découvert des données internes qui servaient à la préparation d’une fraude au président. Les factures et les informations incluent dans l’ensemble des documents étaient exploités, au téléphone, par un/des escroc(s).

Plusieurs actions peuvent en effet être mises en place pour limiter drastiquement le risque qu’une telle arnaque aille à son terme. Dans un premier temps, il est indispensable de sensibiliser les comptables à ce type de fraude puisque ce sont eux qui sont spécifiquement visés. Deux éléments doivent les alerter : les caractères urgents et confidentiels de l’opération. En cas de doute, il conviendra alors de contacter le président par téléphone pour valider cette opération de vive voix.

Cependant, si ce type de vérification est faisable au sein des PMEs, lorsqu’il s’agit d’une grande entreprise, il est parfois plus compliqué d’obtenir une confirmation orale. C’est dans ce cas qu’une fonctionnalité telle que la séparation des tâches (SoD – Segregation of Duties) prend tout son sens.

Les virements bancaires étant, en tout état de cause, critiques pour toute organisation, ceux-ci doivent être soumis à un mécanisme de SoD pour tout virement non récurrent ainsi que lors de la mise en place d’un virement récurrent. La réalisation d’un virement bancaire par le comptable serait soumise à une validation électronique d’un administrateur de la société ou de tout autre personne habilitée à valider ce type d’opération. Ainsi, si le virement semble suspect, celui-ci sera investigué et stoppé avant même que le virement ne soit effectué.

La fraude au président, comme tout autres principales cybermenaces, doit être intégrée aux actions de sensibilisation à la cybersécurité dispensées par les organisations. Il s’agit là de la première barrière face aux cyberattaques et parfois la seule disponible, dès lors qu’une société ne dispose pas de solutions de cybersécurité adéquates face aux différentes menaces qui pèsent sur les systèmes d’information. Les collaborateurs sont en première ligne face aux cyberattaques et doivent donc être au cœur de la stratégie de sécurisation des systèmes. Un collaborateur formé et informé voit son statut passer de celui de faille à celui de maillon fort de l’organisation.

Banque, Bitcoin, cyberattaque

Des millions de dollars en cryptomonnaie volés ces dernières semaines !

1 décembre 2021 Damien Bancal Un commentaire

Les propositions frauduleuses de dons de Bitcoin, Ethereum, Dogecoin, Cardano, Ripple et Shiba Inu ont prolifère sur YouTube Live ces dernières semaines. Des pièges grossiers, mais qui fonctionnent.

On peut toujours s’étonner de certaines escroqueries comme le pseudos dons du cousin du frère de l’ami du facteur d’un milliardaire africain ou encore de cette superbe blonde/rousse/brune tombée amoureuse de vous en un e-mail. Mais dites vous que si des pirates continuent d’exploiter de gros hameçons, c’est qu’en face, chez les pigeons 2.0, ça mord à pleines dents dans l’arnaque.

Les mois d’octobre et novembre 2021 auront été les mois des escroqueries autours des cryptomonnaies (BTC, ETH, DOGE, ADA, XRP ou SHIB). Satnam Narang, ingénieur de recherche Tenable, s’est rendu compte, mais il n’est pas le seul, plusieurs lecteurs de ZATAZ.COM et DataSecurityBreach.fr ont aussi alerté sur le sujet, de l’impressionnant nombre de fausses vidéos sur Youtube concernant de « bonnes affaires » dans le petit monde des Bitcoin, Ethereum, Dogecoin, Cardano, Ripple et autre Shiba Inu.

En octobre 2021, et selon les adresses crypto analysées, les sommes engrangées représentaient plus de 8,9 millions de dollars.

Comment ça fonctionne ?

Les arnaqueurs utilisent des comptes YouTube préalablement piratés pour lancer des campagnes d’offres frauduleuses de Bitcoin, Ethereum, Dogecoin, et autres cryptomonnaies. Ils récupèrent des comptes par divers moyens : phishing, rachat de base de données. Pour vous donner une petite idée du problème, le Service Veille ZATAZ (SVZ) a référencé, depuis le 1er janvier 2021, pas moins de 10 milliards (oui, oui, 10 milliards) d’adresses électroniques diffusées dans des espaces pirates (Le Service Veille ZATAZ en cyber surveille plus de 40 000). Sur cette même période, le SVZ a référencé pas moins de 190 000 bases de données piratées et diffusées par des hackers malveillants. Des diffusions sous forme de mise en ligne gratuite ou payante. Bref, autant d’information pouvant être exploitées dans des escroqueries 2.0.

« Les arnaques aux Bitcoin, explique Satnam Narang, ont collecté 8,2 millions de dollars, avec un montant moyen de 1,6 million de dollars par campagne. » un joli pactole tout droit sorti de cette nouvelle génération d’internautes rêvant cryptomonnaie. A noter, d’ailleurs, que je croise énormément d’adolescents investissant quelques dizaines d’euros dans un miroir aux alouettes dont ils ne sortiront pas gagnants. Intéressant, l’arnaque autour du Bitcoin permet aux pirates de ramasser le plus d’argent. L’Ethereum ne représente que 400 000 dollars détournés. Les arnaques aux Shiba Inu est impacté au hauteur de 34 000 dollars, en moyenne, par campagne malveillante.

Fausses vidéos et influenceurs détournés

Les arnaqueurs le savent très biens. La grande majorité des utilisateurs sont des moutons qui accordent plus facilement leur confiance à des voix qui ont de l’influence. Bilan, ils créent de fausses vidéos mettant en scène les créateurs et cocréateurs des cryptomonnaies, des patrons d’entreprises … On y retrouve Michael Saylor, président-directeur général de MicroStrategy, Xavier Niel patron d’Iliade (Free), Vitalik Buterin, cocréateur de l’Ethereum ou encore Elon Musk (Tesla/SpaceX). Le point commun de toutes ces arnaques sur les fausses émissions YouTube Live, c’est que les utilisateurs sont renvoyés vers des sites externes qui proposent aux utilisateurs de doubler leur avoir en cryptomonnaie. Cette technique est la plus efficace dans les arnaques à la cryptomonnaie.

Cybersécurité, Mise à jour

Patch Tuesday : novembre 2021

17 novembre 2021 Damien Bancal

À l’occasion de la publication de son Patch Tuesday de novembre 2021, Microsoft a corrigé 55 vulnérabilités dont 6 classées comme critiques et 6 déjà signalées comme des Zero-Day.

Vulnérabilités Microsoft critiques corrigées

CVE-2021-42298 – Vulnérabilité d’exécution de code à distance (RCE) dans Microsoft Defender

Cette vulnérabilité qui affecte Microsoft Defender peut être exploitée en diffusant des fichiers malveillants. Cette vulnérabilité RCE sera déclenchée lorsque le fichier malveillant sera ouvert par un utilisateur ou analysé automatiquement depuis une version désuète de Microsoft Defender.

CVE-2021-42279 – Vulnérabilité de corruption de mémoire dans le moteur de script Chakra

La vulnérabilité de débordement de tampon est liée à un bug dans le moteur de script Chakra qui permet à des attaquants distants d’exécuter du code arbitraire en initialisant une corruption de mémoire.

CVE-2021-42316 – Vulnérabilité RCE dans Microsoft Dynamics 365 (on-premises)

Cette vulnérabilité est un bug avec exécution de code à distance dans les configurations Microsoft Dynamics déployées sur site (on-premises). Très peu d’informations publiques sont disponibles concernant cette vulnérabilité.

CVE-2021-26443 – Vulnérabilité RCE dans le composant Microsoft Virtual Machine Bus (VMBus)

Cette vulnérabilité se produit lorsqu’un invité VM ne parvient pas à traiter la communication sur un canal VMBus. Un utilisateur authentifié peut exploiter cette vulnérabilité en envoyant une communication malveillante sur le canal VMBus depuis l’invité à l’hôte, ce qui permet à l’attaquant d’exécuter du code arbitraire sur le serveur.

CVE-2021-3711 – OpenSSL : débordement de tampon de déchiffrement de la fonction SM2

Il s’agit d’une vulnérabilité de débordement de tampon dans le logiciel OpenSSL qui est intégré à Microsoft Visual Studio. Cette vulnérabilité est liée à un problème de calcul dans la taille du tampon dans la fonction SM2 d’OpenSSL. Un attaquant peut exploiter cette vulnérabilité pour planter l’application et exécuter potentiellement du code arbitraire avec la permission de l’utilisateur d’exécuter l’application.

CVE-2021-38666 – Vulnérabilité RCE sur le client Bureau à distance

Cette vulnérabilité sur les clients du service Bureau à distance peut être exploitée par un attaquant qui contrôle un serveur de ce service. L’attaquant peut manipuler un utilisateur pour qu’il se connecte au serveur du service Bureau à distance compromis/malveillant, ce qui entraîne une RCE.

Autres vulnérabilités activement exploitées et donc hautement prioritaires :

CVE-2021-42321 – Vulnérabilité RCE dans Microsoft Exchange Server

Cette vulnérabilité activement exploitée affecte Microsoft Exchange Server 2019 et Microsoft Exchange Server 2016. Il s’agit d’une vulnérabilité post-authentification qui permet d’exécuter du code. Microsoft fournit des détails supplémentaires dans un article de blog public.

CVE-2021-42292 – Vulnérabilité de contournement de la fonction de sécurité dans Microsoft Excel

Cette vulnérabilité peut être exploitée via un fichier malveillant qui permet à un attaquant d’exécuter du code. Elle affecte à la fois les versions Windows et MacOS, sachant qu’un correctif n’est pas encore disponible pour MacOS.

Détails sur 4 des 6 vulnérabilités Zero-Day :

CVE-2021-43208 – Vulnérabilité RCE dans 3D Viewer

CVE-2021-43209 – Vulnérabilité RCE dans 3D Viewer

CVE-2021-38631 – Vulnérabilité de divulgation d’informations dans le protocole Remote Desktop Protocol (RDP) de Windows

CVE-2021-41371 – Vulnérabilité de divulgation d’informations dans le protocole – Remote Desktop Protocol (RDP) de Windows

(Par Ankit Malhotra, Chercheur, Qualys Lab)

Securite informatique

Comment vérifier que votre box internet est piratée ?

11 novembre 2021 Damien Bancal

Disposer d’une connexion internet est indispensable de nos jours. En effet, grâce à internet, il est possible de réaliser une multitude de taches du quotidien facilement. Et pour en avoir, la meilleure option est de disposer d’une box internet. Avec le développement de l’internet et la prolifération des hackers, il n’est pas rare de subir un piratage de votre box. Et lorsque cela arrive, dans le meilleur des cas, le pirate se contente d’utiliser votre connexion internet. Mais dans le pire des cas, il pourrait commettre des actes illégaux. Pour éviter cela, découvrez dans cet article comment vérifier que votre box internet est piraté.

Vérifier votre connexion internet

Vérifier votre connexion internet est la première étape si vous voulez découvrir si votre box a été piratée. Il est possible que pendant les jours de forts vents ou de pluie, la connexion puisse être affectée. Ce qui entraîne par moment une certaine lenteur de votre navigation par rapport aux autres jours. Cependant, vous devriez savoir que de manière générale, le Wifi fonctionne toujours correctement. Alors, si vous commencez par constater que votre connexion est plus lente que d’habitude, il pourrait s’agir d’une utilisation de votre réseau par quelqu’un d’autre. À cet effet, effectuez ce test de débit ici par exemple.

En dehors de la vitesse de votre connexion, vous pouvez également vérifier au niveau de la lumière de votre routeur destinée au Wifi (ou WLAN). Observez si elle clignote après que vous ayez éteint tous les appareils, y compris les smartphones. Si c’est le cas, cela indique clairement que quelqu’un utilise votre réseau.

Utiliser des outils en ligne

Il existe des outils en ligne et disponibles pour Windows, ainsi que Mac, qui peuvent vous permettre de détecter une présence inconnue sur votre réseau internet. Pour Microsoft Windows et Apple, vous avez le réseau wireless watcher et gestionnaire de réseau Microsoft. Pour mobiles Android, vous avez les dispositifs Fing, découverte du réseau et scan du réseau. Pour mobiles iOS, il s’agit également de Fing. À celui-ci s’ajoutent scanner du réseau IP et iNet.

Toutefois, il faut noter un défaut avec ces outils. Ils ne sont pas en mesure de détecter les ordinateurs qui sont connectés au réseau. Aussi, il n’y a aucune possibilité d’accéder à une liste d’autres adresses IP qui ont pu se connecter à votre réseau sans fil.

Consulter votre retour

Le retour est un dispositif qui dispose d’un dossier qui vous permettra de savoir si une autre personne que vous est connectée à votre réseau en ce moment. Pour ce faire, vous devez entrer dans l’interface de gestion de votre routeur. Ensuite, cliquez sur votre adresse IP dans la barre de navigation (sur le même routeur). Vous verrez une boîte s’ouvrir et vous y entrez le code : ipconfig/all. Après, cliquez sur « intro », et vous verrez une adresse apparaître dans la barre du navigateur. Copiez-la et l’interface de votre routeur s’ouvrira. Il vous demandera le nom d’utilisateur et un mot de passe. Ils sont disponibles dans le manuel de votre routeur ou sur l’autocollant.

Recherchez l’historique de votre dispositif relié au Wifi. Elle apparaît souvent dans la section DHCP. Ainsi, vous verrez toutes les adresses IP connectées à votre routeur.

cyberattaque, VPN

45 millions de données de clients d’un VPN diffusées sur le web

1 novembre 2021 Damien Bancal

Tout aurait pu se passer tranquillement entre un lanceur d’alerte et la société ActMobile. Une menace plus tard, et 45 millions de données sont diffusées sur Internet.

L’américain ActMobile est une société spécialisée dans les services VPN. Elle permet à ses clients de surfer de manière sécurisée, anonymat entre le client et les sites visités.

Un chercheur a expliqué, dernièrement, avoir trouvé un stockage ActMobile mal sécurisé, laissant ainsi la possibilité à qui sait chercher de mettre la main sur les données internes du service. ActMobile précise dans son mode d’emploi ne stocker aucune information sur ses clients.

Seulement, c’est mal connaître les pirates qui ont trouvé, eux aussi, le dit serveur fuiteur. Bilan, les informations copiées du cloud mal sécurisé ont été mis en ligne.

45 millions de lignes de logs avec, entre autres : IP du client ; IP du VPN utilisé ; nom de l’appareil ; version Android / iOS ; Etc. 1 577 970 courriels uniques dont 3 185 @yahoo.fr ; 8 797 @mail.ru ou encore 698 737 @gmail.com.

Le chiffre aurait pu être plus important, mais fort heureusement, le nom des utilisateurs et les adresses e-mails sont dorénavant hachés.

Cybersécurité, Paiement en ligne

Les douanes vous réclament de l’argent ! Vraiment ?

1 novembre 2021 Damien Bancal

Plusieurs dizaines de lecteurs ont alerté DataSecurityBreach.fr de la réception d’un courriel aux couleurs des Douanes françaises. Vous devez payer une taxe pour recevoir un colis.

Lors d’un achat en ligne, très peu d’internautes connaissent les règles liées aux potentielles taxes douanières. Si votre colis est expédié depuis un pays hors de l’Union européenne, il s’agit d’une importation sur le territoire national. Ce colis est soumis à des formalités douanières (droits de douane et taxes). De nombreux escrocs ont compris l’intérêts de cette méconnaissance des consommateurs et sautent sur l’occasion pour piéger les clients.

Depuis quelques jours, une nouvelle vague d’un courriel aux couleurs des Douanes françaises a fait son apparition dans des boites mails de clients SFR. Fait intéressant, les mêmes qui ont reçu un courriel se faisant passer pour la police/gendarmerie, voilà quelques jours.

Le faux courriel de la Douane explique qu’un « colis expédiée le [date, NDR] est en cours de traitement, Afin de nous permettre la livraison du votre colis des frais de TVA seront refacturés à l’importateur (…) Conformément à la règlementation douanière en vigueur, toute importation en provenance d’un pays hors communauté européenne d’une valeur commerciale supérieure à 400 EUR est taxable, quelle que soit la nature de la marchandise« .

L’escroc, pour parfaire le contenu de sa missive fournit un texte de loi qui doit renforcer la véracité de ses dires : « Article 154-I et II-1° du CGI : LOI n°2018-1511 du 03 mai 2018 – art. 98 (V) la validation du solde Paysafecard pour règlement des frais de dédouanement est valable. » texte qui évolue depuis une dizaine d’année comme le montre mes captures écrans.

Le pirate explique ensuite qu’afin de permettre la livraison du colis l’internaute doit « régulariser les frais douanière impayés en suivant les étapes vous permettant la finalisation de la livraison de votre colis« .

Le voleur 2.0 réclame entre 50 et 100€ (selon les courriels, Ndr) qu’il faut payer via le service Paysafecard. Bien entendu la Douane ne réclame pas d’argent via ce type de site et service web. A noter que derrière l’adresse électronique proposée par le pirate (confirmation-colis@service-public.fr) se cache ne fait servicenews@airmail.cc

Pour en savoir plus sur les questions que vous pourriez vous poser sur vos achats en ligne, visitez le site officiel douane.gouv.fr (pour la France) ; (Belgique) ; (Canada).

backdoor, Cybersécurité

1 011 domaines pirates contre les youtubeurs

26 octobre 2021 Damien Bancal

Selon Google, les créateurs de chaînes YouTube sont de plus en plus souvent victimes d’attaques de phishing utilisant des logiciels malveillants pour voler des mots de passe et des cookies.

Les logiciels malveillants détectés lors de ces attaques comprennent des souches de masse telles que RedLine, Vidar, Predator The Thief, Nexus stealer, Azorult, Raccoon, Grand Stealer, Vikro Stealer, Masad et Kantal, ainsi que des programmes open-source tels que Sorano et AdamantiumThief.

Ce malware est utilisé pour voler les informations d’identification du navigateur et les cookies, ce qui permet aux attaquants de détourner les sessions d’autorisation des utilisateurs.

Google a identifié au moins 1 011 domaines associés à ces attaques et environ 15 000 comptes de membres créés spécifiquement pour cette campagne.

VPN

Augmentation des attaques de pirates informatiques contre les entreprises : Comment se protéger ?

13 octobre 2021 Damien Bancal

Vous avez peut-être pris la résolution de renforcer votre cybersécurité en 2020, mais vous comprenez aussi que de nombreuses menaces à la cybersécurité échappent souvent à votre contrôle. Malgré tout, comme beaucoup de français, vous souhaitez probablement prendre des mesures pour protéger ce qui vous appartient, comme vos appareils, votre identité, votre vie privée en ligne, votre famille et votre domicile. C’est pourquoi il est judicieux de contribuer à la protection de vos appareils connectés à l’internet et de protéger vos informations personnelles sensibles.

En quoi les cyberattaques et les violations de données sont-elles différentes ?

Une cyberattaque se produit lorsque des cybercriminels tentent d’accéder illégalement à des données électroniques stockées sur un ordinateur ou un réseau. L’intention peut être d’infliger une atteinte à la réputation ou un préjudice à une entreprise ou à une personne, ou de voler des données précieuses. Les cyberattaques peuvent viser des individus, des groupes, des organisations ou des gouvernements.

Une violation de données est un type d’incident de sécurité. Elle se produit lorsque des informations sont consultées sans autorisation. Il peut s’agir d’informations personnelles telles que des numéros de sécurité sociale, des mots de passe et des numéros de comptes financiers. Les informations divulguées sont parfois vendues ou échangées sur le dark web et peuvent être utilisées pour commettre des crimes tels que le vol d’identité.

Adoptez des habitudes de cybersécurité intelligentes

Utilisez des mots de passe forts : Faites en sorte que vos mots de passe soient forts et uniques. Un mot de passe fort doit contenir 12 caractères au minimum, dont des lettres en majuscule et minuscule, des chiffres et des symboles spéciaux. Évitez d’utiliser le même mot de passe sur plus d’un compte.

Utilisez un VPN : Un réseau privé virtuel – mieux connu sous le nom de VPN – peut vous aider à vous protéger contre les menaces en ligne. Un VPN vous garantit la sécurité de vos données et l’anonymat en ligne. Cela se fait en créant un réseau privé à partir d’une connexion Internet publique. Essayez donc un logiciel VPN rapide pour Windows et vous allez bénéficier d’une connexion rapide et sécurisée. Vous êtes moins susceptible d’être attaqué par des inconnus que sur une connexion publique.

Restez à jour : Il est bon de se tenir au courant des cybermenaces, en partie parce qu’elles continuent d’évoluer. Se tenir au courant des nouvelles et des développements est un moyen de se préparer à réagir aux nouvelles cybermenaces.

Que dois-je faire pour me protéger avant une cyberattaque ou une violation de données ?

Il est judicieux d’acquérir de solides habitudes de cybersécurité pour se préparer à une cyberattaque ou à une violation de données. Des attaques et des violations à grande échelle peuvent se produire dans de grandes organisations, mais il est également important de sécuriser vos informations personnelles et vos réseaux. Voici trois mesures que vous pouvez prendre.

Protégez vos fichiers et vos appareils

Maintenez vos logiciels à jour : Gardez votre logiciel de sécurité, votre navigateur web et votre système d’exploitation à jour. Il est indispensable de télécharger les dernières mises à jour qui corrigent les bugs de sécurité que les cybercriminels pourraient utiliser pour atteindre vos informations personnelles.

Sécurisez vos fichiers : Vous pouvez choisir un ou plusieurs moyens de sauvegarder vos documents importants. Vous pourriez avoir recours à des disques durs externes, à des lecteurs flash, à des services de sauvegarde ou au « cloud ».

Cryptez vos appareils : Vous avez probablement des informations personnelles sensibles sur vos appareils, y compris les ordinateurs portables, les tablettes et les smartphones. Envisagez de crypter ces fichiers. Le chiffrement brouille le texte lisible, de sorte que seule une personne possédant la clé de déchiffrement peut y accéder et le lire.

Utilisez l’identification multifactorielle : L’identification multifactorielle (également appelée authentification à deux facteurs) peut empêcher les cybercriminels d’accéder à vos comptes. Prenez une mesure de sécurité supplémentaire pour activer l’authentification multifactorielle sur tout compte nécessitant des identifiants de connexion. Souvent, un code de sécurité sera envoyé sur votre smartphone pour compléter le processus de connexion.

backdoor, Chiffrement, cyberattaque

Faire face aux attaques de ransomware de type « Living Off the Land »

18 août 2021 Contributeur Partenaire

Les cyberattaques de type « living off the land » (ou LotL) constituent désormais l’une des menaces les plus redoutables pour les entreprises. La récente campagne de ransomware contre Kaseya n’est ainsi que le dernier exemple en date, dans lequel les cybercriminels ont utilisé les ressources technologiques de l’organisation contre elle. Ces types d’attaques procurent en effet aux cybercriminels deux leviers clés : l’accès et le temps.

Si ces attaques LotL ne se concluent pas toujours par un ransomware, les deux vont de plus en plus souvent de pair et sont aussi difficiles à évaluer qu’à prévenir. Une stratégie de protection efficace commence donc par une solide compréhension de ce qui constitue une attaque par ransomware LotL et des dommages qu’elle peut causer.

Dès 2017, les attaques de malwares sans fichier ont commencé à attirer l’attention du grand public après la divulgation de rapports faisant état d’infections de systèmes IT de plusieurs grandes organisations. Or, ces malwares sans fichier ont rendu possibles les attaques LotL. En éliminant la nécessité de stocker la charge utile malveillante dans un fichier, ou de l’installer directement sur une machine, les cybercriminels peuvent alors échapper aux antivirus, et aux autres outils traditionnels de sécurité des terminaux. Ils se déplacent ensuite latéralement dans l’environnement, en escaladant les privilèges et en dévoilant de nouveaux niveaux d’accès, jusqu’à ce qu’ils atteignent le but ultime : les systèmes, les applications et les bases de données contenant des actifs commerciaux essentiels, tels que les données clients, la propriété intellectuelle, les ressources humaines.

Malwares sans fichier

Pour se maintenir dans les systèmes sans être détectés, ces malwares sans fichier se font souvent passer pour un outil de confiance doté de privilèges et d’accès élevés. Cela permet aux attaquants de surveiller l’environnement, de récupérer des identifiants, en prenant tout le temps nécessaire. Il est extrêmement difficile d’identifier, et encore plus d’arrêter, ces attaques, surtout s’il s’agit d’un ransomware sophistiqué qui cible spécifiquement l’organisation. Pour y faire, il n’y a pas d’autre choix que de penser comme des attaquants, tout en gardant à l’esprit qu’une campagne n’est pas nécessairement identique à une autre. Le cheminement des attaques LotL n’est en effet pas linéaire. L’objectif est donc de déchiffrer l’environnement et de développer une approche fondée sur ce qui s’y trouve.

La plupart des attaques LotL suivent ainsi un schéma similaire : usurper des identités pour s’infiltrer dans un réseau d’entreprise, compromettre des systèmes, élever des privilèges et se déplacer latéralement jusqu’à obtenir l’accès aux systèmes sensibles nécessaires à l’exécution de l’attaque ou à la propagation du ransomware. Mais à chaque étape, il existe des possibilités divergentes qui rendent le suivi et l’anticipation de ces attaques très complexes. Les équipes IT doivent donc bénéficier des outils nécessaires pour décomposer les comportements et les indicateurs d’alerte à surveiller, lors des étapes critiques d’une attaque par ransomware LotL, et ce, afin d’accélérer la détection et de réduire l’exposition et les dommages.

Cependant, compte tenu du nombre de techniques éprouvées dont disposent les cybercriminels, il peut se révéler difficile de savoir comment traiter les points de vulnérabilité ou par où commencer. L’élaboration d’une stratégie de protection efficace contre les ransomwares exige des organisations qu’elles étudient les maillons de la chaîne d’attaque qui présentent les niveaux de risque les plus élevés et qu’elles les classent par ordre de priorité. Ainsi, une sécurisation des terminaux à plusieurs niveaux – combinant la défense par le moindre privilège, l’authentification forte des identités, la protection contre le vol d’informations d’identification, le contrôle des applications et le blocage des ransomwares – compliquera considérablement la tâche des hackers qui voudront s’introduire et maintenir leur présence. Car une fois qu’ils ont un pied dans le réseau informatique, il leur est facile de brouiller les pistes et d’intensifier leur action. (Par Ketty Cassamajor, Responsable Avant-Vente Europe du Sud chez CyberArk)

Cybersécurité

Cybersécurité : les différences entre un VPN pour particuliers et entreprises

23 juillet 2021 Contributeur Partenaire

Aujourd’hui, avec l’augmentation du nombre de personnes qui travaillent à distance, mais aussi avec la nécessité de transmettre des informations par le biais d’un réseau externe ou interne, la question de la sécurité des réseaux est devenue une véritable priorité. Le VPN assure la sécurité entre les différents appareils connectés aux serveurs.

Choisir un VPN : l’utilité d’un comparateur en ligne

Le réseau virtuel privé ou un Virtual Private Network (VPN) permet aux entreprises comme aux particuliers d’accéder à un réseau sécurisé, surtout lorsqu’ils travaillent à distance. En effet, l’utilisation d’un réseau non sécurisé peut conduire au piratage des données sensibles d’entreprises ou aux données personnelles des utilisateurs. Les VPN permettent d’améliorer et de sécuriser le trafic entre l’utilisateur et le serveur. Ils offrent en outre la possibilité de contourner les blocages de certains sites ou réseaux sociaux dans certains pays en préservant l’anonymat des utilisateurs. Il existe plusieurs types de VPN, d’où l’utilité d’un comparateur de VPN avant de choisir celui qui correspond à vos besoins.

Le VPN entreprise pour lutter contre les phishings et l’espionnage

L’utilisation d’un VPN entreprise présente des différences avec celle d’un VPN particulier. En effet, il est important de rappeler qu’un VPN entreprise est destiné à protéger l’entreprise des piratages de données en les chiffrant. Un paramètre important dans un contexte où le télétravail a pris de l’ampleur avec la pandémie. Le VPN entreprise a pour objectif de protéger les données de l’entreprise contre les phishings. Si vous consultez vos comptes sur des réseaux sociaux, vous ne bénéficierez pas de la protection du VPN entreprise.

Le VPN particulier pour la préservation de la vie privée des usagers

Un VPN pour particulier est spécifiquement destiné à protéger la vie privée des utilisateurs contre les hackers. Ainsi, si vous travaillez depuis chez vous, les échanges entre votre ordinateur et le serveur de votre entreprise seront protégés par le VPN professionnel, tandis que les sites personnels que vous consultez le seront par un VPN particulier. La navigation privée et les données personnelles ne pourront être ni vues ni enregistrées par les fournisseurs de VPN, conformément au RGPD en vigueur.

Le VPN particulier gratuit pour un usage peu intensif

Le VPN particulier peut être gratuit tant que l’usage qui en est fait n’est pas trop intensif, que vous n’avez pas à manipuler une masse importante de données, et que vous n’avez pas besoin de connecter plusieurs appareils à la fois (cela est valable pour tous les appareils qui nécessitent une connexion, comme vos systèmes d’alarmes et de vidéosurveillance, la gestion de l’ouverture ou de la fermeture des portes, des volets…).

Le VPN d’entreprise pour une connexion optimale, et un meilleur contrôle

Un VPN professionnel fournira des services plus pointus. La vitesse de connexion est plus élevée, plus puissante, sans limite, au niveau de la bande passante. Plusieurs centaines d’employés seront connectés en simultané, où qu’ils se trouvent dans le monde. Les employés pourront alors accéder à une adresse IP unique. Par ailleurs, un VPN professionnel donnera la possibilité aux entreprises d’apposer un contrôle sur les connexions des salariés et d’en homogénéiser l’utilisation pour l’ensemble de l’entreprise.

Cybersécurité, Entreprise

Les cyberattaques de type DDoS prennent de l’ampleur en 2021 en France et en Belgique

23 juillet 2021 Contributeur Partenaire

Cloudflare, spécialiste de la sécurité, la fiabilité et la performance d’Internet vient de publier les tendances du second trimestre 2021 concernant les attaques DDoS. Ce panorama révèle que les cyberattaques envers les sites publiques ont augmenté de presque 500%.

Bien que la menace DDoS ne soit pas nouvelle, à partir du premier trimestre de 2021, les dernières attaques contre des sites et serveurs allant des établissements vinicoles, des équipes sportives professionnelles, des services de ferry et des hôpitaux l’ont fait passer du simple bruit de fond aux gros titres affectant notre vie quotidienne. En fait, les récentes attaques ont propulsé les ransomwares et les attaques DDoS au sommet du programme de sécurité nationale du président américain Biden.

Des attaques toujours plus puissantes

Plus de plus de 11% des clients Cloudflare qui ont été victimes d’une attaque DDoS au cours des 6 premiers mois de l’année 2021, ont reçu des menaces ou des demandes de rançons.

Cela représente 1 client sur 10. Des attaques qui s’expliquent notamment par l’importante part qu’a pris le numérique au sein de notre société afin de s’adapter à la crise sanitaire.

Un secteur public davantage ciblé

Les attaques DDoS visant les services aux consommateurs sont une fois de plus omniprésentes et ont augmenté de 684% par rapport au trimestre précédent. Les sites d’administrations publiques et de secteur public représentent le second secteur le plus ciblé avec des attaques DDoS HTTP qui ont augmenté de 491%.

L’hexagone n’est pas le seul dans ce cas, puisque l’on observe également cette tendance en Belgique avec plus de 200 organisations dont les sites web gouvernementaux et autres ont été touchés par des attaques DDoS.

Cette recrudescence des attaques envers le secteur public s’explique notamment par l’importance qu’on prit les services de santé ces dernières semaines dans la lutte contre la crise sanitaire.

La Chine reste le pays avec le plus d’activités DDoS provenant de l’intérieur de ses frontières – 7 requêtes HTTP sur 1 000 provenant de Chine faisaient partie d’une attaque HTTP DDoS ciblant des sites Web, et plus de 3 octets sur 100 ont été ingérés dans nos données. Les centres en Chine faisaient partie d’une attaque DDoS de la couche réseau.

Les données observées au deuxième trimestre de 2021 suggèrent que les organisations aux États-Unis et en Chine étaient les plus ciblées par les attaques HTTP DDoS. En fait, une requête HTTP sur 200 destinée à des organisations basées aux États-Unis faisait partie d’une attaque DDoS.

Les menaces émergentes comprenaient des attaques DDoS d’amplification qui abusaient du protocole Quote of the Day (QOTD) qui a augmenté de 123 %.

De plus, à mesure que l’adoption du protocole QUIC continue d’augmenter, les attaques sur QUIC augmentent également, enregistrant une énorme augmentation de la QoQ de 109 % au deuxième trimestre de 2021.

Le nombre d’attaques DDoS au niveau de la couche réseau dans la plage de 10 à 100 Gbit/s a augmenté de 21,4 %.

La société visée était Hypixel, un spécialiste US du jeu. Hypixel est resté en ligne sans temps d’arrêt ni pénalité de performances pour ses utilisateurs gamers, même sous une campagne d’attaque DDoS active supérieure à 620 Gbps.

DDoS et rançon

Les pirates se prétendant être « Fancy Lazarus », « Fancy Bear », « Lazarus Group » et « REvil » lancent à nouveau des attaques par ransomware et ransom-DDoS contre les sites Web et l’infrastructure réseau des organisations, à moins qu’une rançon ne soit payée avant un délai donné.

Dans le cas des menaces DDoS, avant la demande de rançon, une petite attaque DDoS est généralement lancée à titre de démonstration. L’attaque de démonstration se déroule généralement sur UDP et dure environ 30 à 120 minutes.

La demande de rançon est généralement envoyée aux alias de messagerie de groupe communs de l’entreprise qui sont accessibles au public en ligne, tels que noc@ , support@ , help@ , legal@ , abuse@ , etc. Dans plusieurs cas, elle s’est retrouvée dans le spam.

Dans d’autres cas, nous avons vu des employés ignorer la demande de rançon en tant que spam, augmentant le temps de réponse de l’organisation, ce qui a entraîné des dommages supplémentaires à leurs propriétés en ligne. (Rapport Cloudflare)

Cybersécurité, Entreprise

La sécurité des entreprises, un point essentiel à renforcer

23 juillet 2021 Contributeur Partenaire

En ce qui concerne la mise en place d’un programme mature de sensibilisation à la sécurité, l’argent n’est pas toujours le plus gros défi. Trop souvent, le véritable problème est le temps, car il n’y en a jamais assez. Cela a sans aucun doute été le cas pour beaucoup d’entre nous au cours de l’année écoulée, et c’est particulièrement vrai pour les défenseurs sur le front qui tentent de mettre en place des programmes de sensibilisation à la sécurité interne dans les entreprises du monde entier.

La sensibilisation à la sécurité est censée être une tâche essentielle, qui fait partie de leurs fonctions. Pourtant, selon des études récentes, de moins en moins de ces employés sont en mesure de consacrer le temps nécessaire au lancement et au fonctionnement efficace de ces programmes.

En effet, les conclusions du 2021 SANS Security Awareness Report (rapport 2021 du SANS sur la sensibilisation à la sécurité) doivent résonner comme un signal d’alarme pour toute organisation qui souhaite s’améliorer sur l’aspect humain du cyber-risque.

Les bénéfices d’une sécurité mieux appliquée

À partir d’une analyse détaillée des comportements de plus de 1 500 professionnels de la sécurité issus de 91 pays différents, le rapport du SANS Institute révèle que plus de 75 % des professionnels de la sécurité déclarent consacrer moins de la moitié de leur temps à la sensibilisation à la sécurité.

Accaparés par une multitude de demandes contradictoires, ces professionnels confirment qu’il n’y a littéralement pas assez d’heures dans la journée pour assumer leurs responsabilités en matière de sensibilisation à la sécurité. Par conséquent, la sensibilisation à la sécurité représente au mieux un travail à temps partiel de leur part.

Cela nous amène à la deuxième problématique la plus souvent signalée comme un obstacle à la capacité des entreprises à maintenir un programme mature de sensibilisation à la sécurité : le manque de personnel dûment certifié pour travailler sur le programme et le mettre en œuvre.

Enfin, le manque de budget a été identifié comme le troisième obstacle majeur qui empêche de nombreuses entreprises de mettre en œuvre une stratégie globale de sensibilisation à la sécurité.

Il est clair que de nombreuses entreprises ont encore des obstacles importants à surmonter en ce qui concerne leurs démarches de sensibilisation à la sécurité.

Heureusement, il existe quelques mesures clés que les organisations peuvent prendre pour accélérer leur programme.

D’abord, assurer les effectifs et les moyens

Pour combler ce fossé entre les aspirations et la réalité, le rapport du SANS indique que la clé du succès consiste à disposer d’au moins trois employés équivalents temps plein (ETP) chargés de gérer le programme de sensibilisation à la sécurité. Mais il est tout aussi important de s’assurer que ces rôles sont assumés par les bonnes personnes, disposant des compétences nécessaires.

En effet, les résultats de l’étude du SANS révèlent que trop souvent les responsabilités en matière de sensibilisation à la sécurité sont déléguées à du personnel aux antécédents très techniques, qui n’ont pas toujours les compétences nécessaires pour communiquer avec le personnel en des termes faciles à comprendre.

Pour optimiser la réussite du programme, les organisations doivent plutôt chercher à nommer des personnes qui, en plus d’être des cyberspécialistes compétents, maîtrisent les compétences interpersonnelles et non techniques nécessaires pour transmettre ou « vendre » efficacement les priorités stratégiques de l’organisation en matière de sécurité de façon pragmatique.

Ensuite, placer des responsables en modèles à suivre

Ces dernières années, la sensibilisation à la sécurité, qui était l’apanage des RH ou des équipes chargées des questions juridiques et de conformité, est devenue la principale préoccupation des directeurs informatiques. Toutefois, le rapport du SANS recommande de confier de plus en plus la responsabilité première de la sensibilisation à la sécurité et de la gestion de la confiance au responsable de la sécurité informatique (RSSI).

Chargé d’aider le conseil d’administration à comprendre les problèmes de sécurité potentiels et responsable de la gestion des cyberrisques de l’entreprise, le RSSI occupe une position idéale pour veiller à intégrer la sensibilisation à la sécurité dans la stratégie de sécurité générale. C’est pourquoi le SANS recommande que les programmes de sensibilisation soient gérés par une personne dédiée à plein temps qui fasse partie de l’équipe de sécurité et soit placée sous les ordres directs du RSSI.

Le message clé ici est que la personne chargée de la sensibilisation à la sécurité doit faire partie de l’équipe de sécurité et en être le prolongement, et ne pas être déconnectée des autres démarches de sécurité.

Les clés du succès

À la lumière des récents changements opérationnels rapides mis en œuvre en réponse à la COVID-19, l’investissement dans la sensibilisation à la sécurité est vital si les organisations renforcer l’efficacité de leur gestion du risque humain. Recruter un nombre suffisant de personnes, dotées des compétences appropriées pour mettre en œuvre le programme, n’est qu’un début.

Pour parvenir à des améliorations significatives, les membres du conseil d’administration doivent se faire les principaux défenseurs de leurs programmes de sensibilisation à la sécurité et prioriser un financement proportionné en regard des autres efforts déployés en matière de sécurité. Il sera ensuite essentiel de veiller à ce que des personnes suffisamment haut placées pour bénéficier d’une autorité et d’une connaissance réelles des priorités de sécurité les plus stratégiques de l’organisation assument la responsabilité finale de l’élaboration du programme en fonction des besoins de sécurité en constante évolution de l’entreprise. (Tim Bandos, RSSI chez Digital Guardian)

cyberattaque, Cybersécurité

Cyberattaques : l’immobilisation des entreprises coûte bien plus cher qu’on ne le pense

23 juillet 2021 Contributeur Partenaire

Il faudra s’y habituer, la digitalisation croissante amène avec elle son lot de problèmes et parmi ceux-ci se trouvent les cyberattaques. Leur puissance et leur structure varient selon la cible choisie mais la conséquence est identique pour toutes les victimes : une immobilisation totale ou partielle de l’appareil productif pour une durée indéterminée. S’en suit alors un véritable chemin de croix pour les structures qui cherchent à se remettre de ces attaques.

Cyberattaque : une méthodologie précise et difficilement détectable

A l’origine de telles attaques se trouve, encore et toujours, l’argent comme principale motivation. Qu’il soit réclamé via une demande de rançon ou obtenu par la revente de données entreprises, il est toujours au centre des préoccupations des hackers. Pour parvenir à leurs fins, ces derniers doivent donc déployer une stratégie qui nécessite parfois plusieurs mois de préparation selon la structure ciblée. Dans certains cas, les hackers cherchent à s’infiltrer très tôt et mettent leurs programmes en dormance via la technique de l’obfuscation. Ils peuvent ainsi effacer leurs traces et déclencher leur attaque quelques semaines/mois plus tard.

Au cœur de la méthodologie d’une cyberattaque, la première étape est celle de la reconnaissance, elle consiste à récupérer un maximum d’informations – mails, téléphones, noms – sur une ou plusieurs personnes de l’entreprise. Cette phase de social engineering permet de trouver un point d’entrée qui est, dans la majorité des cas, celui de l’email. Qu’il s’agisse d’employer la méthode du phishing, l’installation de malware ou en ayant recours aux arnaques au président, l’objectif, une fois à l’intérieur des systèmes d’informations, est d’effectuer des mouvements latéraux permettant aux hackers d’infiltrer et de toucher d’autres éléments du réseau de l’entreprise. L’attaque se déploie plus largement et capte ainsi davantage de données et paralyse les serveurs internes.

Une production durement et durablement touchée

L’un des premiers réflexes pour les entreprises est de couper leurs systèmes d’informations pour limiter la casse et éviter que l’attaque ne se propage davantage en interne. Un réflexe de survie qui leur permet d’organiser une riposte et d’accélérer le retour à une situation normale. Si les directions des systèmes d’information, pour les entreprises qui en disposent, sont sur le pied de guerre pour colmater les brèches, elles ne peuvent cependant que constater les dégâts causés.

Et ces derniers peuvent avoir un impact très important sur la production et la mener à son immobilisation pendant un certain temps. En témoigne la récente cyberattaque dont a été victime Colonial Pipeline, un important réseau d’oléoducs qui transporte près de 45% des carburants de la côte Est des Etats-Unis, et qui a provoqué un arrêt de l’approvisionnement durant plusieurs jours. Cela a généré des mouvements de panique au sein de la population qui ont eu pour conséquence des pénuries dans certaines stations essence. En fin de compte, la société a dû verser près de 4,4 millions de dollars de rançon aux hackers.

Des exemples comme celui-ci montrent qu’une immobilisation de la production, même de courte durée, peut entraîner de lourdes pertes financières pour les entreprises touchées par les cyberattaques ainsi que pour les acteurs de leur écosystème.

Prévention des cyberattaques : un défi humain

Dans un processus de retour à la normale, il est possible que certaines entreprises décident de payer immédiatement une rançon contrairement à d’autres qui tentent de contrer l’intrusion dans leur système d’information. Dans les deux cas, il n’est jamais tout à fait certain que ce type d’attaque ne se reproduise pas. Il est donc utile de s’assurer en interne qu’il existe une stratégie de prévention comme les plans de reprise d’activité (PRA) qui se déclenchent à la suite d’un sinistre. Cela revient également à investir dans des solutions de protection d’application ainsi que dans celles qui visent à détecter les attaques et à les bloquer en amont. En somme, Il ne s’agit pas de savoir si le système d’information sera touché, mais plutôt quand il le sera.

Malgré toutes les dispositions technologiques prises, de nouvelles attaques toujours plus puissantes et vicieuses parviendront à contourner les nombreux systèmes de sécurité mis en place par les entreprises. L’un des enjeux de ces prochaines années se situe donc au niveau de la prévention humaine. L’idée d’un firewall humain n’est possible que si les collaborateurs d’une entreprise sont formés à reconnaître les signes d’une cyberattaque. Cet aspect sera d’autant plus important que la transition digitale des entreprises s’est largement accélérée depuis la crise du Covid-19 et avec elle le nombre de cyberattaques qui a été multiplié par quatre entre 2019 et 2020 en France. Il est donc essentiel et urgent d’instaurer un système de responsabilité partagée qui permettra, à défaut d’atteindre le risque zéro, de préparer au mieux les entreprises à de futures attaques.

backdoor, Cybersécurité, Social engineering

CHARMING KITTEN : des pirates venus d’Iran

14 juillet 2021 Damien Bancal

Alors qu’ils ciblaient en mars dernier les éminents chercheurs en médecine via des campagnes de phishing principalement aux États-Unis et en Israël, l’acteur malveillant TA453, qui serait affilié au gouvernement iranien, également connu sous les noms de CHARMING KITTEN et PHOSPHORUS, est de retour avec une nouvelle campagne de leurres par email.

Baptisée « SpoofedScholars », cette opération représente l’une des campagnes les plus sophistiquées de TA453 selon la société en cybersécurité Proofpoint. Cet acteur malveillant procèderait en usurpant des infrastructures légitimes et reconnues pour atteindre leurs cibles. C’est en initiant des campagnes d’emails malveillants que TA453 a pu obtenir illégalement l’accès à un site Web appartenant à une institution universitaire de renommée mondiale afin de récolter les identifiants des cibles victimes.

SpoofedScholars

Les attaques de TA453 sont toujours plus innovantes et complexes. La finalité de l’opération « SpoofedScholars » ? Dérober des informations qui seront ensuite détenues par l’IRGC (Corps des gardiens de la révolution iranienne). Pour le moment, rien ne prouve la réelle appartenance de ces pirates avec l’IRGC.

C’est après avoir établi une pseudo relation de confiance par le biais de nombreuses conversations, que TA453 a pu infiltrer les systèmes d’information de ses infrastructures cibles comme l’Université de Londres. En effet, TA453 fournissait dans ses échanges par emails, un « lien d’enregistrement » vers un site Web compromis hébergeant une page de collecte d’informations d’identification de la radio SOAS de l’Université de Londres.

Ce site de phishing, aux apparences trompeuses était en réalité configuré pour dérober une variété de données d’identification.

Sur la durée, TA453 a changé de tactique et a décidé de fournir le lien d’enregistrement phishing plus tôt et plus furtivement dans ses interactions avec ses cibles, rendant ainsi la phase de conversation non-nécessaire.

Bien qu’à l’heure actuelle cette campagne ait été démasquée et qu’une partie du groupe de TA453 ne semblent plus être actifs, la société estime avec une grande confiance que TA453 continuera d’usurper les universitaires du monde entier pour soutenir les opérations de collecte de renseignements de TA453 en faveur des intérêts du gouvernement iranien. Les universitaires, les journalistes et le personnel des groupes de réflexion devront redoubler de vigilance et vérifier l’identité des personnes qui souhaiteront échanger avec eux par mail pour des opportunités professionnelles.