Les experts de Kaspersky Lab auraient découvert une nouvelle variante du ransomware CTB-Locker3 Baptisé Citroni / Onion, il s’attaque aussi aux serveurs web.
A l’origine, CTB-Locker est un malware de type ransomware qui chiffre des fichiers sur le disque dur de ses victimes avant de demander une rançon pour les déchiffrer. Il se démarque pour 3 raisons : Son taux d’infection très élevé ; son utilisation de Tor, des Bitcoins et de Elliptic Curve Cryptography et ses capacités multilingues.
Son objectif n’est plus d’encrypter le contenu des ordinateurs mais de s’attaquer aux serveurs web. Ici, les rançonneurs cherchent avant tout des sites web vulnérables, les attaquent pour y uploader du code et encryptent ensuite l’ensemble des fichiers qui y figurent. Ils modifient alors la page d’accueil de ces sites et y affichent des informations sur la façon de décrypter leur contenu. Ils incluent également des informations sur le montant de la rançon.
Les chercheurs ne savent pas encore comment CTB-Locker est déployé sur les serveurs web, mais il y a cependant un point commun sur plusieurs des serveurs attaqués : ils utilisent tous la plate-forme de blog WordPress. En pratique, les rançonneurs demandent moins de la moitié d’un bitcoin comme rançon, soit environ 150 $ US. Pour le moment, 70 serveurs encryptés dans 11 pays ont été repérés, avec une majorité de victimes aux États-Unis et en Russie. Pour le moment, aucun outil de désencryption n’est disponible, la seule façon de se débarrasser rapidement de cette menace étant de s’assurer de disposer d’une copie de sauvegarde des fichiers du serveur, le tout dans un endroit séparé.
Poseidon, une campagne de piratage ciblant des établissements financiers ainsi que des opérateurs de télécommunications, des fabricants, des compagnies d’énergie et des groupes médias. La France visée par l’attaque.
L’équipe GREaT (Global Research & Analysis Team) de Kaspersky Lab annonce la découverte du groupe Poseidon, une menace avancée active dans des opérations internationales de cyber espionnage depuis au moins 2005. L’originalité de Poseidon est qu’il s’agit d’une entité commerciale, dont les attaques font appel à des malwares personnalisés, signés numériquement avec des certificats pirates et déployés dans le but de dérober des données sensibles aux victimes et de les racketter. En outre, le malware est conçu pour fonctionner spécifiquement sur les machines Windows en anglais et en portugais brésilien, une première pour une attaque ciblée.
Au moins 35 entreprises victimes ont été identifiées, les principales cibles étant des établissements financiers et des administrations, des opérateurs de télécommunications, des fabricants, des compagnies d’énergie et d’autres réseaux de services collectifs, ainsi que des groupes médias et des agences de relations publiques. Les experts ont également détecté des attaques contre des sociétés proposant leurs services à des cadres supérieurs. Les victimes du groupe Poseidon se trouvent dans les pays suivants :
Etats-Unis
France
Kazakhstan
Emirats Arabes Unis
Inde
Russie
Cependant, la répartition des victimes penche très nettement vers le Brésil, où bon nombre d’entre elles réalisent des opérations via des joint-ventures ou des partenaires.
L’une des caractéristiques du groupe Poseidon réside dans l’exploration active des réseaux d’entreprise sur la base des noms de domaine. Selon le rapport d’analyse consulté par DataSecurityBreach.fr, Poseidon recourt à des e-mails de spear-phishing accompagnés de documents RTF/DOC, comportant généralement un appât sur le thème des ressources humaines, qui installent un fichier binaire malveillant dans le système cible lorsque le destinataire clique dessus. Un autre trait marquant est la présence de chaînes de caractères en portugais du Brésil. La prédilection du groupe pour les systèmes lusophones, comme le révèlent les échantillons, est une pratique inédite.
Une fois un ordinateur infecté, le malware rend compte à des serveurs de commande et de contrôle, avant d’entamer une phase complexe de déplacements latéraux à l’intérieur du réseau de l’entreprise. Cette phase fait souvent intervenir un outil spécialisé qui collecte automatiquement et systématiquement un grand nombre d’informations (identifiants, règles de sécurité, voire journaux système) afin de mieux cibler les attaques suivantes et d’assurer la bonne exécution du malware. De la sorte, les auteurs des attaques savent quelles applications et commandes utiliser sans alerter l’administrateur du réseau pendant leur exploration et leur exfiltration.
Les informations rassemblées sont ensuite exploitées par une organisation de façade pour racketter les entreprises victimes en les contraignant à engager Poseidon comme consultant en sécurité, sous peine de voir utiliser les informations dérobées dans une série de transactions louches au profit du groupe.
« Le groupe Poseidon est une équipe de vétérans intervenant sur tous les théâtres d’opérations : terre, air et mer. Certains de ses centres de commande sont implantés chez des fournisseurs d’accès Internet desservant des navires en mer, des connections sans fil ou encore des opérateurs classiques», commente Dmitry Bestuzhev, Directeur de l’équipe GREaT de Kaspersky Lab en Amérique latine. « En outre, plusieurs de ses implants présentent une durée de vie très courte, ce qui a permis à ce groupe de sévir aussi longuement sans se faire repérer.»
Le groupe Poseidon étant en activité depuis au moins 10 ans, les techniques de conception de ses implants ont évolué, ce qui complique pour de nombreux chercheurs la mise en corrélation des indicateurs et l’assemblage des pièces du puzzle. Cependant, en réunissant soigneusement tous les indices, en étudiant la signature de la menace et en reconstituant la chronologie des attaques, les experts ont pu établir vers la mi-2015 que des traces détectées précédemment mais non identifiées appartenaient bien à la même menace, c’est-à-dire le groupe Poseidon.
Devenir chauffeur, recevoir un chèque à débiter et renvoyer l’argent liquide par Wester Union ? Bienvenue dans les petites annonces pirates diffusées par Pôle Emploi.
Les fraudes à l’emploi, via Internet sont légions. Je vous en parle malheureusement très souvent. Elles prennent différentes formes : faux contrat de gestion de colis. Des objets volés ou acquis avec des CB piratées. Les colis sont à renvoyer à une adresse donnée (DropBox) au dernier moment, par le pirate. Gestion de fausses commandes. L’employé reçoit de l’argent sur son compte en banque. L’escroc explique qu’il provient de commandes de clients d’un « grand distributeur international de produits de créateurs ». Il s’agit surtout de fraudes bancaires [Phishing, CB piratée, cyber boutiques pillées…). Le pigeon doit renvoyer un pourcentage en liquide, par Western Union. Bref, la fausse offre d’emploi permet aux voleurs d’amadouer sa victime. Il lui communique un chèque à déposer en banque. La cible doit renvoyer la liquidité par un procédé choisi par le pirate. Le chèque est faux ou sans provision.
De la Mule à l’âne, il n’y a qu’un pas
En plus de devenir une « mule » en blanchissant de l’argent volé et de participer à une escroquerie en bande organisée, l’internaute piégé par ce type d’escroquerie met aussi ses informations personnelles en danger. En fournissant des renseignements privés comme son compte bancaire ou la photocopie de son passeport. L’activité de la « mule » consiste à accepter des transferts d’argent sur son compte personnel. La victime utilise ensuite les services de transfert de fonds comme la Western Union pour envoyer l’argent vers une supposée adresse d’entreprise, en Europe de l’Est, à Hong-Kong ou simplement en Belgique. L’ « employé » conserve un certain pourcentage sur le montant du transfert, généralement entre 3% et 5%, comme commission pour le service. L’opportunité d’embauche proposée dans ces emails est alléchante : travailler comme agent financier ou chef de transaction, pour quelques heures par semaine seulement et à partir de son domicile, contre une rémunération élevée. Une fois l’argent en route vers l’étranger, la victime escroquée n’a quasiment plus aucune chance de récupérer son argent. Lorsque la fraude est découverte, ce sont les blanchisseurs d’argent, les mules insouciantes, qui reçoivent les demandes de dommages et intérêts et/ou les lettres de l’accusation. Sans parler de la visite des « Amis du petit déjeuner« . Bref, de la Mule à l’âne, il n’y a qu’un pas.
Fausse annonce, faux chèque, vraie arnaque
C’est cette dernière possibilité qui a touché plusieurs demandeurs d’emploi du nord de la France. Un habitant de la région Lilloise a répondu, par exemple, à une petite annonce diffusée par Pôle emploi. La mission, devenir chauffeur de maître pour une famille Suisse qui doit s’installer quelques temps en France. L’arnaque est simple, mais efficace. Pour louer la voiture dédiée à ce travail, l’escroc envoie un chèque à sa victime. Le document bancaire, d’un montant variant de 2000 à 3000se, doit permettre de louer la voiture. La cible le dépose donc sur son compte en banque. Le surplus d’argent doit être renvoyé, par Wester union. Le voyou 2.0 vient de récupérer des euros sonnants et trébuchants. La personne piégée se retrouve avec un énorme trou dans son compte en banque. Sans parler de la location de la voiture, que les escrocs pourront récupérer et utiliser à d’autres fins que les vacances !
Comment les repérer ?
Pôle Emploi, qui dans le Nord de la France ne semble pas vérifier l’intégralité de ces offres comme l’indique la Voix du Nord du 5 janvier 2016, donne quelques clés pour ne pas être piégés. Parmi les propositions : Ne donnez jamais vos données personnelles à un inconnu (votre numéro de sécurité sociale, le numéro de permis de conduire, votre RIB, numéros de compte, de carte bancaire, accès de connexions, etc.). Tout recruteur qui vous demanderait ce type d’information, avant même de vous avoir rencontré, doit être considéré comme suspect ; protégez votre ordinateur ou votre périphérique en installant antivirus et pare-feu ; n’envoyez pas d’argent à un employeur potentiel ; Ne versez aucune somme d’argent en échange d’un contrat de travail potentiel ; N’acceptez aucune rétribution, de quelque nature que ce soit, de votre futur employeur tant que vous n’avez pas signé le contrat de travail [Attention, j’ai pu croiser de faux contrats de travail. Bannissez les entreprises inconnues, basées à l’étranger, NDR) ; Ne poursuivrez pas la communication si vous doutez de l’honnêteté de votre interlocuteur. « N’hésitez pas à demander toute précision qui vous semble utile afin de vous assurer que l’offre proposée est bien réelle et sérieuse » termine Pôle Emploi sur son site web.
Dans le quotidien nordiste, l’une des victimes indique cependant n’avoir reçu aucune réponse à ses demandes insistantes sur le sérieux d’une des annonces « J’ai contacté mon conseiller pour demander si une vérification est faite sur le sérieux des offres. Je n’ai jamais obtenu de réponse. »
En cas de fraude ou d’abus de ce type, n’hésitez pas à contacter la rédaction de ZATAZ.COM via leur protocole d’alerte sécurisé ou encore Info Escroquerie au 0 811 02 02 17 ou via le site Internet internet-signalement.gouv.fr.
Un internaute met la main sur le site Internet d’une compagnie aérienne Chinoise et réussi à détourner 150 000 euros en annulant des voyages.
Zhang est un internaute Chinois de 19 ans. Comme beaucoup de ses petits camarades, ils touchent au piratage. Le gouvernement ne dit rien, tant que ces « visites » ne visent pas les entreprises locales. Sauf que Zhang a oublié l’adage « Une petite armée résiste à l’ennemi, une grande armée le capture » L’art de la Guerre – Art. III. Bilan, après s’être invité dans le serveur d’une compagnie aérienne, il a manipulé les comptes clients et réussi à soutirer 150 000 euros via les 1,6 million d’informations de réservations qu’il a copié et qui incluaient noms, numéros de carte d’identité, numéros de téléphone, adresses e-mail et autres données de vol. Dans son « attaque », elle va durée 15 jours, Zhang écrivait aux passagers en indiquant que leur vol avait été annulé et qu’il fallait reprogrammer un voyage. Zhang vendait de nouveaux billets et prenant sa commission. Il a été arrêté. (People)
G DATA CLEAN UP s‘attaque aux barres d’outils, PUP et adwares L’outil de nettoyage anti PUP est disponible gratuitement.
Les adwares et autres logiciels indésirables (PUP) prolifèrent sur Internet. Généralement installés à l’insu de l’utilisateur, ces logiciels sont également difficiles à désinstaller. Avec CLEAN UP, G DATA offre un outil gratuit sans aucune installation, qui détecte et supprime les logiciels indésirables les plus courants. G DATA CLEAN UP est disponible gratuitement sur le site Internet de G DATA.
G DATA CLEAN UP peut être utilisé directement après le téléchargement et ne nécessite aucune installation. L’outil détecte actuellement 14 familles de programmes gênants ou potentiellement indésirables, et évoluera en fonction des risques. Après la localisation du programme malveillant, l’utilisateur décide si G DATA CLEAN UP le supprime ou non.
Que sont les adwares ?
Les adwares sont des logiciels qui s’installent en arrière-plan sans l’accord de l’utilisateur et qui sont difficiles à désinstaller. Ce programme n’est pas nuisible, mais il espionne le comportement de l’utilisateur pour placer des publicités ciblées et collecter des données.
Que sont des programmes potentiellement indésirables ?
En plus des adwares, il existe d’autres programmes indésirables, qui s’installent également en même temps que des programmes légitimes. Cela peut être des barres de navigation ou de prétendus outils pour optimiser le système. Des publicités agressives ou des promesses douteuses poussent l’utilisateur à l’achat. La plupart du temps, le logiciel agit pour soutirer de l’argent à l’utilisateur et a pour conséquence le ralentissement de l’ordinateur.
Configurations systèmes requises pour G DATA CLEAN UP ; PC avec Windows Vista (SP1 minimum), Windows 7/8.x/10.
G DATA CLEAN UP est indépendant de la solution de sécurité installée et compatible avec la plupart des antivirus du marché. Les fonctionnalités de l’outil évolueront en fonction des dangers par mises à jour régulières. G DATA CLEAN UP est disponible gratuitement en français.
De faux courriels annonçant aux entreprises qu’elles sont de potentielles cibles de terroristes cachent un fichier malveillant.
Un mail inquiétant a été diffusé au Canada, Dubaï, Bahreïn ou encore en Turquie indiquant aux entreprises ciblées par la missive qu’elles étaient des cibles potentielles d’actes de terroristes. Les escrocs derrières ces courriels surfent sur les craintes de nouvelles attaques meurtrières des membres de la secte de Daesh. Des attaques de type phishing comme on a pu le connaitre lors de médiatiques catastrophes, comme ce fût le cas pour le Tsunami qui a touché des plages Thaïlandaises en 2004.
Dans ce nouveau cas, les pirates conseillent aux lecteurs d’alerter leurs collaborateurs et familles. Ils incitent aussi à cliquer sur les pièces jointes. L’un de ces fichiers n’est rien d’autre qu’un logiciel espion. Les escrocs ont, avant de lancer leur attaque, organisé un social engineering qui leur a permis de collecter suffisamment d’information sur leurs cibles pour crédibiliser le contenu de leurs faux messages d’alertes.
Connaître le décès d’une personne permet à des escrocs d’appeler les familles pour espérer les piéger.
Des escrocs se font passer pour des associations de généalogie afin de soutirer de l’argent aux familles d’un défunt. L’idée est malheureusement terriblement efficace. D’abord, l’escroc collecte les identités des personnes décédées. Il suffit de faire une revue de presse des quotidiens locaux, voir des journaux municipaux, pour trouver les informations de base.
Ensuite, les voleurs font un environnement de la famille. Les escrocs inscrivent toutes les informations qui serviront ensuite à convaincre l’interlocuteur qu’ils contacteront par téléphone. Ils expliquent être mandatés par un avocat, un notaire ou une association de généalogie, comme ces cas révélés en Picardie.
L’excuse des voleurs, le défunt aurait souscris une assurance vie. Bien entendu, si le cas vous touche, ne fournissez AUCUNES informations bancaires. Demandez un numéro de téléphone pour rappeler. Attention ! Les escrocs peuvent vous fournir un 0899 (numéro surtaxés). Refusez aussi !
35 % des français ont déjà créé un faux profil et 15 % ont menti sur leur âge : du petit mensonge aux escroqueries sentimentales, comment éviter les pièges ?
Les escroqueries qui fleurissent sur les sites et applications de rencontres sont de plus en plus courantes et les témoignages de victimes se suivent et se ressemblent. Tout internaute doit se montrer vigilant lors de ses activités en ligne et plus particulièrement lors de conversations intimes avec des inconnus. Il est essentiel de ne pas partager ses données personnelles, qu’il s’agisse d’informations bancaires, de coordonnées (adresse e-mail ou postale etc.) ou de détails sur sa vie privée. Alors, comment trouver l’amour en ligne sans se faire avoir ?
Une étude conduite par Avast auprès de plus de 1200 français de tous âges, confirme la nécessité d’appliquer certaines règles dans le cadre d’une rencontre en ligne : alors que plus de 30 % des répondants affirment être déjà tombé amoureux avant même leur première rencontre physique avec leur partenaire, des vérifications préalables s’imposent. S’il n’est probablement pas dramatique de mentir de quelques années sur son âge, la création d’un faux profil – avouée par 20 % des personnes interrogées – pose en revanche plus de questions sur les intentions de certains utilisateurs.
Parmi les informations régulièrement révélées par les membres de ce type de sites/applications, nombreuses sont celles qui permettent à des personnes mal intentionnées de mieux repérer les faiblesses de leurs interlocuteurs. L’enquête d’Avast le confirme : sur l’ensemble du panel, plus d’un tiers des personnes interrogées (34 %) affirment avoir déjà été sollicitées par une personne qui leur réclamait de l’argent lors d’échanges en ligne, et plus de 10 % ont d’ailleurs cédé ! Les arnaqueurs comptent en général sur la naïveté ou la détresse émotionnelle/sentimentale de leurs interlocuteurs pour arriver à leurs fins. Il existe pourtant des méthodes simples et efficaces pour éviter de tomber dans leurs filets.
En effet, il n’est pas compliqué de vérifier l’authenticité des photos de profil ou encore de déceler une arnaque suffisamment tôt pour ne pas se laisser impliquer émotionnellement. Car plus le temps passe avant de découvrir la supercherie, plus il sera difficile de stopper le processus, notamment dans le cadre d’un chantage qui devient « affectif ».
Près de 20 % des personnes interrogées déclarent avoir été victime de harcèlement sur un site ou une application de rencontre. Plus de la moitié des membres d’un site ou d’une application de rencontre sont mariés (38 %) ou entretiennent déjà une relation (13,78 %). La majorité des répondants sont inscrits sur un ou deux sites/applications (76 %) mais presque 5% sont membres de plus de 7 sites ou applications différentes. 20 % des répondants avouent avoir déjà créé un faux profil. 15 % confirment avoir déjà menti sur leur âge : 58 % se donnent entre 1 et 5 ans de moins (ou de plus), environ 20 % entre 6 et 11 ans et 20 % également modifient de plus de 18 ans leur véritable âge
« Il est évident que le partage d’informations personnelles est nécessaire dans le cadre d’une rencontre amoureuse en ligne, explique à DataSecurityBreach.fr Sarah Teboul, spécialiste e-commerce chez Avast. C’est la raison pour laquelle les utilisateurs doivent impérativement s’assurer de la crédibilité de leur interlocuteur avant de leur confier la moindre information personnelle. Il existe plusieurs façons de se prémunir contre ces pièges. Par exemple, lorsqu’ils sont sollicités pour de l’argent, ils peuvent entre autres bloquer la personne sur les réseaux sociaux et renforcer leurs paramètres de sécurité. Il leur est également possible de vérifier la source des photos ou poèmes reçus sur internet afin de confirmer l’identité de leur interlocuteur, les escrocs réutilisant en général les mêmes images et textes. De nombreuses ressources sont également disponibles en ligne tels que des portails dédiés mis en place par le gouvernement et des numéros verts qui apportent un soutien plus important aux victimes d’escroqueries.»
Les clients du Fournisseur T-Online et du site eBay visés par des publicités malveillantes. Un cheval de Troie était installé dans les ordinateurs des victimes.
Sale ambiance, fin de semaine dernière, pour des milliers d’internautes allemands. Des pirates informatiques ont réussi l’infiltration d’une importante régie publicitaire locale, MP NewMedia. Lors de cette intrusion, les malveillants ont fait de manière à afficher de fausses annonces sur d’importants sites web (boutique, presse, …).
Parmi les diffuseurs involontaires d’un cheval de Troie, le fournisseur d’accès à Internet T-Online ou encore eBay. Dans le cas du FAI, dès qu’un visiteur souhaitait se rendre sur son compte mail, une message lui proposait de télécharger un logiciel. Derrière le programme, un code malveillant d’espionnage ! Tous les clients ayant visité T-Online, du vendredi 16 octobre au dimanche 18 octobre ont pu être compromis.
Prudence, il y a de forte chance que les pirates se soient attaqués à d’autres régies publicitaires. (MalwareBytes)
Des chercheurs ont découvert un malware qui prend le relais du navigateur Chrome. Similaire au navigateur de Google, des bonus malveillants en plus.
Décidément, les malwares pour Android, iOS et autres ordinateurs sont légions. Gdata a annoncé, le 20 octobre 2015, pas moins de 3 millions de nouveaux codes malveillants découverts lors des 6 premiers mois de l’année 2015 ; Apple vient d’effacer 256 applications de l’App Store. Des applications qui volaient des données personnelles aux utilisateurs.
Dans cette panoplie malveillante, un petit nouveau qui est basé sur le code de Chromium, un outil open-source qui permet de garder la même interface que Chrome dans les outils créés. Le malware fonctionne ainsi : d’abord il fait de manière à devenir le navigateur par défaut. Il prend en charge un certain nombre de fichiers tels que HTML, JPG, PDF et GIF.
Malwarebytes explique que le malware détourne aussi les associations d’URL : HTTP, HTTPS et MAILTO et la quasi-totalité des authentifications du PC avec l’Internet. Le navigateur affiche ensuite des tonnes de publicités vers des sites pirates proposant faux antivirus et autres promotions commerciales douteuses. Le navigateur est diffusé par la société Clara Labs, une « entreprise » basée à San Francisco, du moins sa boite aux lettres.
Amazon vient de tirer à boulet rouge sur les avis de faux consommateurs. Le géant américain en aurait découvert un millier qui se feraient payer le « 5 étoiles ».
Avoir des avis positifs sur Internet, c’est gage de qualité, de service rendu. Seulement, les faux avis positifs sont nombreux, très nombreux. Amazon vient d’indiquer qu’il en avait repéré plusieurs centaines. Ces derniers passeraient par le site Fiverr.com. Un portail qui permet de vendre « son avis ». Les avis 5 étoiles sont vendus, par exemple, 5 dollars. Amazon a déposé plainte contre X et espère faire disparaître le site, comme ce fût le cas pour buyamazonreviews.com, bayreviews.net et buyreviewsnow.com.
L’ingénierie sociale serait la méthode la plus utilisée, suivie par la compromission de comptes et les attaques web de type injections SQL/de commandes selon une étude de Balabit.
BalaBit, fournisseur européen de technologies de sécurité contextuelle, a présenté lors de la 15è édition des Assises de la Sécurité, les résultats d’une étude menée auprès des participants de la Black Hat en août dernier, conférence de référence mondiale en matière de sécurité de l’information. BalaBit a interrogé 349 professionnels de la sécurité afin de définir le top 10 des méthodes de hacking actuellement les plus populaires. Cette étude offre aux entreprises l’opportunité de mieux connaître leurs ennemis en identifiant les méthodes et les vulnérabilités les plus utilisées par les hackers lorsqu’il s’agit de s’attaquer à leurs données sensibles. Cette base de connaissance est la première étape fondamentale pour toute entreprise souhaitant mettre en place une stratégie de sécurité IT efficace, et cela quelque soit son secteur d’activité.
Attaquant interne ou externe ? Pas si évident…
Les menaces sont différentes et plus sophistiquées aujourd’hui et la frontière entre les menaces internes et externes est devenue très étroite. La majorité des attaquants externes tentent de pénétrer le réseau, d’acquérir des niveaux d’accès basiques et d’utiliser leurs droits pour petit à petit remonter jusqu’à des niveaux d’accès privilégiés. Dans la plupart des cas, ils restent invisibles dans le réseau pendant plusieurs mois, puisqu’ils parviennent à s’identifier comme des utilisateurs internes. Qu’en est-il des utilisateurs internes malveillants ? : Sont-ils conscients des conséquences de leurs actes lorsqu’ils partagent leurs identifiants ou lorsqu’ils cliquent sur des liens de phishing – dans ce cas, la fuite de données est-elle le résultat d’actions intentionnelles ou accidentelles ? Doivent-ils être considérés comme malveillants seulement si leur action était intentionnelle ? Cela a t-il vraiment beaucoup d’importance si la fuite de données est très grave ?
70% des personnes interrogées considèrent les menaces internes comme les plus risquées.
54% des personnes interrogées déclarent avoir très peur des hackers qui pénètrent au sein du réseau de l’entreprise via leur pare-feu, alors même que 40% d’entre elles déclarent qu’un pare-feu n’est pas assez efficace pour empêcher les hackers d’entrer.
Les participants ont également été interrogés sur les attaquants – internes ou externes – qu’ils considèrent les plus à risques : Les résultats soulignent un point important en vue de la définition d’une stratégie de défense efficace : 70% des personnes interrogées considèrent que les utilisateurs internes présentent le plus de risques (et seulement 30% estiment que les attaquants externes posent plus de risques). Une chose est sûre : les attaquants externes cherchent à devenir des utilisateurs internes, et les utilisateurs internes les aident pour y parvenir – accidentellement ou intentionnellement. Quelque soit la source de l’attaque, la liste des 10 méthodes de piratage les plus populaires -présentées ci-dessous – démontre qu’il est crucial pour les entreprises de savoir ce qu’il se passe sur leur réseau en temps réel. Qui accède à quoi ; est-ce le bon utilisateur derrière l’identifiant et le mot de passe ou est-ce un attaquant externe utilisant un compte compromis ?
Le top 10 des méthodes de piratage les plus utilisées :
1. Ingénierie sociale (ex : phishing).
2. Compromission de comptes (sur la base de mots de passe faibles par exemple).
3. Attaques web (ex : injection SQL/de commandes).
4. Attaques de clients de l’entreprise ciblée (ex: contre des destinataires de documents, navigateurs web).
5. Exploits avec des mises à jour de serveurs connus (ex: OpenSSL, Heartbleed).
6. Terminaux personnels non sécurisés (manque de politique de sécurité BYOD, datasecuritybreach.fr vous en parle très souvent).
7. Intrusion physique.
8. Shadow IT (utilisation personnelle de services Cloud à des fins professionnelles).
9. Attaque d’une infrastructure outsourcée en ciblant un fournisseur de services externe.
10. Attaque de données hébergées sur le Cloud (via l’IaaS, le PaaS).
Le groupe Pizza & Pub Village vient d’informer ses clients qu’un code malveillant a été découvert dans son système de paiement. Un espion qui aurait été installé via le système de paiement TransformPOS.
Le groupe de restauration Village Pizza & Pub propose, depuis 1978, de s’éclater la panse de sympathique pizza. Les clients peuvent payer en « cash » ou via carte bancaire. Pour ce dernier cas, Village Pizza & Pub utilise les services de TransformPOS. Cette entreprise fournit des caisses enregistreuses, des logiciels de gestion de salle de restaurant, …
Village Pizza & Pub vient d’informer ses clients d’une intrusion dans leur système avec un risque évident du piratage de leurs données bancaires. Village Pizza & Pub indique qu’un logiciel malveillant a été introduit par un pirate informatique. Ce dernier serait passé par l’outil de TransformPOS. Le fournisseur n’a pas encore réagi publiquement.
Dans le communiqué de presse de la chaîne de restauration, nous apprenons que TransformPOS a contacté un cabinet d’enquête privé pour mener une enquête approfondie. « Si les clients ont utilisé une carte de débit ou de crédit dans nos restaurant, souligne VPP, il est fortement conseillé de contrôler son compte en banque« . L’infiltration aurait durée plus de 3 mois, du 23 Avril 2015 aut 2 Août 2015.
Le code malveillant a intercepté les informations de la bande magnétique des cartes bancaires passées par le lecteur de Transform POS. « TransformPOS nous a assuré que la cause de l’incident a été identifié et résolu, que les mesures de sécurité renforcées ont été mises en œuvre, et que les clients peuvent utiliser en toute confiance leur carte » termine Village Pizza & Pub.
L’histoire ne dit pas si d’autres restaurants et commerces… ont été impactés.
En coopération avec WeipTech, Palo Alto Networks et son unité de recherche Unit42 ont identifié 92 échantillons d’une nouvelle famille de malwares ciblant l’iOS, et agissant en toute impunité. Nous avons analysé les échantillons afin de déterminer quel était l’objectif final de leur auteur. Nous avons en outre baptisé ce malware “KeyRaider”. Nous pensons qu’il s’agit du plus important vol de comptes Apple jamais causé par un malware.
KeyRaider cible les appareils iOS débridés et est distribué en Chine via des référentiels tiers de Cydia. Au total, cette menace aurait touché des utilisateurs de 18 pays : Chine, France, Russie, Japon, Royaume-Uni, Etats-Unis, Canada, Allemagne, Autriche, Israël, Italie, Espagne, Singapour et Corée du Sud.
Le malware prend au piège les processus système à l’aide d’un hook via MobileSubstrate, puis capte les noms d’utilisateur et les mots de passe du compte Apple ainsi que l’identificateur unique global (GUID) de l’appareil, en interceptant le trafic iTunes sur l’appareil. KeyRaider dérobe les certificats et les clés privées envoyés par le service de notification Push d’Apple, vole et partage les informations d’achat sur l’App Store, et désactive les fonctionnalités de déverrouillage local et distant des iPhones et des iPads.
KeyRaider est parvenu à s’emparer de plus de 225 000 comptes Apple valides et de plusieurs milliers de certificats, de clés privées et d’accusés de réception de commandes. Le malware envoie les données volées à son serveur de commande et de contrôle (C2), lequel contient lui-même des vulnérabilités qui exposent les informations utilisateur.
L’objectif de cette attaque était de permettre aux utilisateurs de deux tweak de débridage d’iOS de télécharger des applications depuis l’App Store officiel et d’y faire des achats mais sans payer. Les tweaks de débridage sont des packages logiciels qui permettent aux utilisateurs d’exécuter des actions normalement impossibles dans iOS.
Ces deux tweaks détournent les demandes d’achats d’applications, téléchargent les comptes volés ou les accusés de réception de commande du serveur C2, puis émulent le protocole iTunes pour se connecter au serveur d’Apple et acheter des applications ou d’autres éléments demandés par les utilisateurs. Les tweaks ont été téléchargés plus de 20 000 fois, ce qui laisse supposer qu’environ 20 000 utilisateurs exploitent frauduleusement les 225 000 informations personnelles subtilisées.
Certaines victimes ont fait savoir que leurs comptes Apple volés font état d’un historique d’achats d’applications anormal. D’autres sont confrontés à un rançonnement de leur téléphone.
Palo Alto Networks et WeipTech ont mis à disposition des services qui détectent le malware KeyRaider et identifient les informations personnelles volées.
Une nouvelle version de Porn Clicker vient d’apparaitre sur Google Play. Des pirates Turcs seraient derriére cette nouvelle version.
En avril 2015, l’éditeur de solutions de sécurité informatique Avast découvrait un code malveillant baptisé « porn clicker ». Un malware caché dans un logiciel propose sur Google Play. D’après l’éditeur, il a pu être téléchargé entre 100 000 et 500 000. Le code malveillant se faisait passer pour l’application populaire Dubsmash.
Une fois l’application installée, aucun indice particulier ne permettait à l’utilisateur d’identifier sur son appareil une application intitulée “Dubsmash 2” : en effet, l’application générait à la place une icône qui se présentait sous le nom de “Réglages IS”. Lorsque l’utilisateur ouvre cette application, le Google Play Store active la page de téléchargement de l’actuel “Dubsmash”. Par la même occasion, une liste de liens redirigeant vers divers sites pornographiques est téléchargée, conduisant au lancement d’un des liens de cette liste dans le navigateur. Après une dizaine de secondes, le code procède au clic d’autres liens au sein même du site pornographique.
« Nous serons de retour… »
Quatre mois plus tard, il a identifié une mutation de ce malware. intercepteur de données qui semble avoir été créé par la même équipe turque qui était à l’origine de ce logiciel malveillant. Google a une nouvelle fois réagi rapidement et l’a retirée du Play Store.
Une fois téléchargées, les applications ne présentent aucune activité importante lorsque l’utilisateur procède à l’ouverture de celles-ci, et affichent seulement une image fixe. Toutefois, lorsque l’utilisateur, qui ne se doute de rien, ouvre son navigateur ou d’autres applications, l’application malveillante parcourant l’arrière-plan du système renvoie directement vers des sites pornographiques. Les victimes ne comprennent pas forcément d’où proviennent ces redirections, car il n’est possible d’arrêter ce processus qu’en supprimant l’application.
Les chercheurs en sécurité de chez Eset ont rapporté peu de temps après que de nombreuses applications ayant subi cette mutation se trouvaient dans Google Play, et que la forme originelle du malware y a été téléchargée à plusieurs reprises en mai dernier. Les découvertes, combinées à celles d’Eset, prouvent que les auteurs de ces malwares persistent dans leur intention de faire de Google Play une résidence permanente pour leurs logiciels malveillants.
Quelques jours plus tard, le malware était déjà de retour sur Google Play. Le malware, identifié sous l’appellation « Clicker-AR », était présent dans les trois applications suivantes : Doganin Güzellikleri, Doganin Güzellikleri 2, Doganin Güzellikleri 3. Ce qui signifie littéralement « Beautés de la Nature ». Les pirates avaient en effet modifié les noms des développeurs afin que Google ne puisse pas les retrouver facilement. Avast a signalé à Google la présence de ces applications malveillantes et celles-ci ont été une nouvelle fois retirées.
Que peut faire l’utilisateur ?
Google a du pain sur la planche. En effet, la société a en charge à la fois le maintien du système d’exploitation pour mobiles le plus populaire au monde et un « app store » proposant environ 1,5 millions d’applications. Un antivirus n’est pas à négliger, la source du logiciel est à vérifier par les utilisateurs avant le moindre téléchargement. Faire attention aux demandes d’autorisations des applications. Si une application fait une demande d’autorisation que l’utilisateur ne juge pas nécessaire pour le bon fonctionnement de l’application, cela annonce probablement la présence d’une faille. Même si cela peut-être piégé, vérifier les avis d’utilisateurs.
A l’occasion de la Gamescom, G DATA a donné quelques conseils afin de ne pas tomber dans les pièges qui ciblent les joueurs.
Le secteur du jeu vidéo a généré en France un chiffre d’affaires de 1,592 milliards d’euros (hors matériel et accessoires) en 2014, selon l’AFJV (Agence Française pour le Jeu Vidéo). Avec 45 % des achats de jeu vidéo qui se réalisent sur des plateformes dématérialisées, les cybercriminels disposent d’un vivier pour leurs tentatives de vols et d’arnaques. Hameçonnage, fausses offres spéciales, malware dédiés au vol d’identifiants de jeu, les pièges ne manquent pas. À l’occasion de la Gamescom de Cologne, G DATA fait un point sur les attaques les plus courantes et donne ses conseils pour les éviter.
« Les cybercriminels se concentrent de plus en plus sur le trafic de clés de jeu vidéo illégales », explique Ralf Benzmüller, directeur du G DATA SecurityLabs, « des malware et campagnes d’hameçonnage dédiés sont utilisés pour voler les données d’accès des plateformes de jeu en ligne. Les joueurs doivent être prudents et vérifier toutes les offres sur Internet avec attention. De plus, il est nécessaire d’utiliser une solution de sécurité.»
Commerce de licences de jeu achetées illégalement
Grâce aux plateformes de jeu telles que Steam ou Origin, les ventes de jeu sur ordinateur sont entrées depuis longtemps dans l’ère de la dématérialisation. L’arnaque la plus courante chez les cybercriminels consiste à acheter des clés d’enregistrement pour les jeux du moment en utilisant des données de cartes bancaires volées. Ces clés sont ensuite vendues moins cher sur des sites de vente entre particuliers ou des sites d’enchères. Mais la joie des joueurs ne sera que de courte durée, car les fournisseurs couperont l’accès après un certain temps.
Les comptes en ligne Xbox Live, PlayStation Network ou encore iTunes n’échappent pas non plus à ce type d’arnaque. À titre d’exemple, il est possible de trouver sur le marché noir cybercriminel des crédits PSN moitié moins chers que leur valeur réelle.
Les exclusivités comme appât
Les gamers sont toujours à la recherche des avant-premières et des dernières captures des jeux en développement. Les cybercriminels le savent et attirent les joueurs vers des sites voués à infecter leur système et voler leurs données de jeu. Actuellement, des noms des jeux à venir tels que Fallout 4, Star Citizen ou Star Wars : Battlefront sont particulièrement ciblés par les attaques.
Jeux sur mobile : des risques nouveaux
Les jeux sur tablette et smartphone connaissent une forte croissance. Avec eux apparaissent de nouveaux risques, notamment liés aux publicités in-app. De nombreux jeux gratuits utilisent la publicité insérée dans le jeu pour se financer. Mais toutes les applications derrière ces publicités ne sont pas bonnes à prendre. Applications faussement gratuites ou infectées sont de la partie. Les paiements in-app sont aussi à prendre en compte, surtout lorsque les appareils sont utilisés par les enfants.
Comment les joueurs peuvent-ils se protéger ?
– Correctifs non officiels et modifications : il est important de n’installer que les mises à jour officielles provenant des fournisseurs de jeu. Une mise à jour venant d’un fournisseur tiers peut se révéler être un malware.
– Spam et emails infectés : les cybercriminels connaissent les jeux attendus et les utilisent pour attirer les gamers. Il faut bien entendu éviter de cliquer sur des liens ou des pièces jointes douteuses.
– Solution de sécurité active : pour optimiser les performances, la tentation de désactiver la solution de sécurité pendant le jeu est grande. C’est justement ce qu’attendent les attaquants !
– Des logiciels mis à jour : Le système d’exploitation et tous les logiciels utilisés doivent être constamment maintenus à jour. Cela empêche les cybercriminels d’utiliser les failles de sécurité.
– Authentification forte : les comptes Steam et Origin proposent des systèmes d’authentification à deux facteurs qu’il est conseillé de mettre en place afin de sécuriser efficacement ces comptes contre le vol.
– Privilégier les plateformes officielles : les gamers doivent opter pour les plateformes de vente officielles. Des tarifs trop bas sur des sites exotiques doivent alerter l’acheteur.
Le ransomware crypteur TeslaCrypt 2.0 travestit son identité pour réclamer une rançon de 500 dollars La plupart des infections par TeslaCrypt se produisent aux Etats-Unis, en Allemagne et en Espagne, suivis de l’Italie, de la France et du Royaume-Uni.
Kaspersky Lab a détecté un comportement curieux dans une nouvelle menace de la famille de ransomwares crypteurs TeslaCrypt. La version 2.0 du cheval de Troie notoirement connu pour infecter les ordinateurs de joueurs affiche en effet dans le navigateur une page HTML qui est une réplique exacte de CryptoWall 3.0, un autre ransomware célèbre. Sans doute les criminels le font-ils avec une intention bien précise : à ce jour, de nombreux fichiers cryptés par CryptoWall n’ont pas pu être décryptés, ce qui n’est pas le cas pour de multiples exemples observés d’infection par TeslaCrypt. Une fois l’infection réussie, le programme malveillant réclame une rançon de 500 dollars/Euros sous forme de bitcoins en échange de la clé de décryptage ; si la victime tarde à obtempérer, le montant de la rançon double.
Les premiers échantillons de TeslaCrypt ont été détectés en février 2015 et ce nouveau cheval de Troie s’est acquis une notoriété immédiate auprès de joueurs sur ordinateurs. Parmi d’autres types de fichiers ciblés, il tente d’infecter des fichiers typiques de l’univers des jeux : parties sauvegardées, profils d’utilisateurs, replays, etc. Cependant, TeslaCrypt ne crypte pas les fichiers dont la taille est supérieure à 268 Mo.
Mécanisme d’infection
Quand TeslaCrypt infecte une nouvelle victime, il génère une adresse Bitcoin distincte pour recevoir le paiement de sa rançon, ainsi qu’une clé secrète permettant de lever le cryptage. Les serveurs de commande C&C de TeslaCrypt se trouvent dans le réseau Tor. La version 2.0 du cheval de Troie utilise deux jeux de clés : l’un est unique au sein d’un système infecté, l’autre est généré à répétition chaque fois que le programme malveillant est relancé dans le système. En outre, la clé secrète servant à crypter les fichiers de l’utilisateur n’est pas enregistrée sur le disque dur, ce qui complique nettement leur décryptage.
Les malwares de la famille TeslaCrypt ont été observés se propageant via les kits d’exploitation de vulnérabilités Angler, Sweet Orange et Nuclear. Dans ce mécanisme de propagation, la victime visite un site Web infecté et le code malveillant exploite des vulnérabilités du navigateur, le plus souvent dans des modules additionnels, pour installer le malware spécialisé sur l’ordinateur cible.
Recommandations aux utilisateurs
· Effectuez régulièrement des sauvegardes de tous vos fichiers importants. Les copies doivent être conservées sur des supports déconnectés physiquement de l’ordinateur aussitôt la sauvegarde effectuée.
· Il est vital de mettre à jour vos logiciels à mesure que de nouvelles versions sont disponibles, en particulier votre navigateur et ses modules additionnels.
· Au cas où un programme malveillant parvient néanmoins à s’infiltrer dans votre système, il sera le plus efficacement contré par la dernière version en date d’une solution de sécurité dont les bases de données sont actualisées et les modules de protection activés.
Un nombre indéterminé d’utilisateurs Skype harcelés par des messages frauduleux. Microsoft enquête et propose aux clients de son outil de communication de changer leur mot de passe.
Microsoft cherche comment des pirates informatiques, adeptes de spams publicitaires, peuvent bien s’inviter dans les comptes de ses utilisateurs Skype. Depuis des semaines, des publicités non sollicitées et des messages « malveillants » s’invitent dans des centaines de compte. Phishing ? Faille ? La firme de Redmond semble avoir du mal à trouver le problème.
@danbode There is an ongoing investigation about this issue, please follow this Community topic for any updates http://t.co/SWcoX9kkHe
Microsoft a conseillé aux utilisateurs de Skype de changer leur mot de passe. L’équipe Skype a déclaré, de son côté, qu’une enquête sur la question était « en cours ». A noter que plusieurs failles Skype existent depuis plusieurs mois, dont celle qui permet de retrouver l’ip derrière un pseudonyme, et vice-versa. Une possibilité que certains sites commercialisent. Les messages malveillants apparaissent sous forme de lien Google [goo*gl/92829Yj]
Le géant de la grande distribution Walmart enquête sur une possible fuite de données pour un espace web de sa filiale canadienne. Des données de cartes de crédits de clients dans les mains d’un pirate ?
60.000 clients pourraient être touchés par cette fuite potentielle. L’enquête, en cours, tente de découvrir le tuyau percé. Fuite, piratage, bug technique ? C’est un site tenu par partenaire commerciale de Walmart (www.walmartcanadaphotocentre.ca), PNI Digital Media/Staples Inc, qui aurait été la cible. « Nous avons été avertis d’un problème potentiel qui compromet les données liées aux cartes de crédit utilisées dans le site Web du Centre de la photo de Walmart Canada (…) La vie privée de nos clients est de la plus haute importance pour nous. Nous avons immédiatement entamé une enquête et nous communiquerons avec les clients qui sont concernés.«
Le site a été coupé de l’Internet, l’application pour smartphone et tablette désactivée. A première vue, la base de données du Photo Centre de Walmart n’était pas connectée à Walmart.ca et Walmart.com. Cette enquête intervient au moment ou les groupes de grandes distributions canadiens se regroupent, se rachètent pour tuer une concurrence trop présente.
18 millions de canadiens ont utilisé le service de PNI digital pour imprimer des photos et créer des objets via leur site Internet. Le Bureau du vérificateur général du Canada a été alerté.
A la recherche d’une bonne affaire pendant les soldes, les consommateurs n’ont qu’une idée en tête : dégoter l’article le moins cher possible. A leurs risques et périls. Car entre produits de luxe, accessoires, vêtements et produits multimédia,les contrefaçons sont légion sur Internet.
Avec 9 millions d’articles contrefaits saisis par les douanes, 2014 est l’une des années record pour la contrefaçon. Elle marque une hausse de 15% par rapport à l’année précédente : la vente sur Internet représente ainsi 20% des articles contrefaits saisis par la Poste ou en colis express. A l’échelle internationale, la contrefaçon représente 10% du commerce mondial !
Ce sont les médicaments qui sont les plus contrefaits (30 %), suivis des vêtements, des accessoires de mode et des chaussures, puis des produits informatiques et multimédia. La vigilance est donc de mise, surtout en période de soldes, encore plus trompeuse pour les consommateurs alors que les contrefaçons se noient dans la masse des prix cassés.
MarkMonitor, société de protection des marques sur Internet, donne quelques conseils aux lecteurs de DataSecurityBreach.fr pour se protéger des contrefaçons.
Comment repérer un produit contrefait en période de soldes ?
De nombreux produits contrefaits ne sont jamais fortement soldés : hors période de soldes, il est facile de les identifier, et donc d’être prudent. Il faut pour cela avoir conscience que pendant les soldes, notre vigilance est altérée par la profusion de produits discountés ainsi que par la recherche de bonnes affaires. Il faut donc garder à l’esprit que le prix est un indicateur faussé et trompeur.
Comment reconnaitre les sites qui vendent des contrefaçons ?
Il est difficile de démêler le vrai du faux sur les places de marché. L’élément déterminant reste le prix : si le produit connaît un rabais de plus de 50 % de son prix normal, il y a une forte probabilité que ce soit un faux. Côté sites de e-commerce, les plus gros garantissent un contrôle des marchandises qu’ils vendent. Les moins connus, en revanche, peuvent être plus dangereux : il faut vérifier leurs mentions légales, leur charte de confidentialité, leurs coordonnées, la disponibilité d’un espace de paiement sécurisé ou encore la politique de retour des produits. Ainsi que la présence de fautes d’orthographes, souvent révélatrice…
Enfin, faites attention aux sites de petites annonces : il existe aussi des arnaques de vente de contrefaçons maquillées en produits d’occasion.
Comment éviter de se faire avoir ?
Si vous pensez avoir repéré un vendeur louche, faites confiance à la communauté online et partez à la recherche d’avis ou de commentaires sur les réseaux sociaux et les forums : les internautes partagent souvent leurs mauvaises expériences. Regardez également l’adresse du e-commerçant : 89 % des produits contrefaits saisis proviennent de Chine.
Que faire si on a été berné ?
Il n’y a malheureusement rien à faire. Les entreprises et les marques doivent mettre en place des actions en amont, pour lutter contre les contrefaçons au moment où elles sont mises en vente en ligne, ainsi que contre les fausses adresses de sites en enregistrant au préalable des noms de domaines pour protéger leur marque. Consommateurs, vous ne devez pour votre part pas hésiter à déposer plainte si vous ne recevez pas votre colis ou pour déclarer un faux. Avec l’accumulation de plaintes, une procédure judiciaire pourra être lancée par les marques lésées. Et restez donc, quoiqu’il arrive, prudent et vigilant, surtout pendant les soldes !
Disque dur bloqué, fichiers chiffrés, … les attaques de ransomwares n’ont jamais été aussi nombreuses. Un kit de sauvetage vient d’être diffusé. Il ne corrige pas toutes les possibilités malveillantes, mais permet déjà d’y voir plus clair.
L’internaute Jada Cyrus a compilé un kit de secours pour aider les victimes de ransomwares à déchiffrer les fichiers verrouillés. Cette boite à outils serait efficace contre les variantes de CryptoLocker, TeslaCrypt, et CoinVault, trois logiciels rançonneurs malheureusement très populaire sur la toile… et dans les ordinateurs de leurs victimes. « Nous avons des dizaines de cas » souligne à DataSecurityBreach.fr un technicien officiant dans une boutique informatique du Nord de la France, à Seclin. « Beaucoup de personnes se retrouvent avec leurs fichiers chiffrés et n’hésitent pas à payer pour retrouver leurs biens« .
ZATAZ.COM a proposé, il y a quelques semaines, un article les premières minutes d’une attaque d’un ransomware. De quoi vous donner une idée de l’efficacité de ce genre d’attaque. Pour rappel, pour se protéger de ce genre de cochonnerie : Ne pas télécharger ou cliquer sur n’importe quoi ; Un courriel proposant un fichier joint de types .rar ; .zip ; .exe ; .svg ; … sont à bannir. Les alertes s’ouvrant dans votre navigateur vous annonçant « des virus » ou une mise à jour urgente de VLC (vidéo, NDR) ; Flash ; … ne sont pas à prendre à la lettre. Un antivirus mis à jour est obligatoire. La meilleure des défenses face à ce genre d’attaque reste la réflexion. Ce kit regroupe des anti ransomwares pour BitCryptor, CoinVault, CryptoLocker, FBI Ransomware, PC Lock, Tesla Crypt, Torrent Locker.
Un faux courriel, une pièce jointe piégée et le disque dur est chiffré !
Pendant ce temps…
Le Ministère de la justice Vietnamien est devenu la dernière victime de taille d’une attaque d’un ransomware. Plusieurs ordinateurs connectés au réseau du ministère ont été infectés par le malware. Beaucoup de données « importantes » se sont retrouvées cryptés. Comme il n’y a aucun moyen de récupérer les données autres que de payer la rançon, il est très probable que le ministère va perdre toutes ses données. Espérons pour ce ministère que les mots « sauvegardes », « Backup » ou « Kar surxng kahxmul » ne lui soit pas inconnu.
Un ancien agent fédéral américain, fondateur du site Polygraph.com, se retrouve devant la justice pour avoir commercialisé des méthodes pour contrer les détecteurs de mensonge.
Douglas Williams, un ancien agent fédéral américain de 69 ans a plaidé coupable après avoir été accusé d’aider de potentiels demandeurs d’emplois à tricher lors de leur « interrogatoire » dans la fonction publique de l’Oncle Sam.
Il faut savoir que pour viser un poste de fonctionnaire, d’autant plus quand ce poste touche à la sécurité du pays, une obligation est faite de passer au polygraph, le détecteur de mensonges. Le DRH local cherche à savoir si le candidat a consommé de la drogue, a eu des problèmes avec la justice, … Le polygraphe permet aussi aux prisonniers de demander une libération conditionnelle.
Williams a avoué être le fondateur du site Polygraph.com. Un espace qui lui permettait de commercialiser des formations qui avaient pour mission de piéger le polygraphe et les questions attenantes.
D’après Check Point Software Technologies Ltd, spécialiste de solutions en sécurité informatique, les Européens perdent chaque année plus de 1,7 milliards d’euros dû aux vols des données présentent sur les cartes bancaires. La France, avec 544 millions de perte en 2013 se positionne au 3ème rang derrière le Royaume-Uni et les Etats-Unis (Le Royaume-Uni et la France représentent 62% de la fraude à la carte bancaire en Europe).
La situation la plus critique en matière de sécurité bancaire est aux États-Unis. Chaque année, l’économie américaine perd environ 5 milliards de dollars. L’année dernière, une seule attaque menée contre Home Depot a permis de compromettre 56 millions de cartes bancaires, un nombre record. L’année précédente, en 2013, des pirates ont compromis plus de 40 millions de cartes bancaires en dérobant des données bancaires à la chaîne de supermarchés Target.
Les consommateurs anglais et français sont parmi les plus vulnérables. En 2013, ces deux pays ont perdu respectivement 674 millions et 544 millions d’euros. Additionnées ensemble, ces pertes représentent plus de 62% de la fraude à la carte bancaire en Europe. Cependant, la France enregistre une des plus faibles progressions du taux de vol parmi tous les pays d’Europe. D’importantes pertes ont également été relevées en Allemagne (147 millions d’euros) et en Espagne (116 millions d’euros), mais ces chiffres sont en baisse depuis quelques années. La Russie se détache du lot avec des pertes en 2013 (131 millions d’euros) qui représentaient une augmentation de 28% par rapport à l’année précédente.
Les terminaux de paiement sont menacés
La menace la plus importante pour la sécurité des cartes bancaires réside dans les attaques menées contre les terminaux de paiement. En exploitant des vulnérabilités logicielles et en utilisant des logiciels malveillants, les pirates sont en mesure d’utiliser des accès à distance pour dérober des données lues par les terminaux durant les transactions. Ce type d’attaque a été utilisé contre les réseaux de Home Depot et de Target aux États-Unis. Il convient de noter que les clients aux États-Unis sont particulièrement vulnérables à ces menaces en raison des systèmes de paiement obsolètes qui y sont utilisés. Selon des études récentes, près d’un tiers des attaques de logiciels malveillants menées contre des terminaux de paiement dans le monde se sont déroulées aux États-Unis !
Les experts soulignent également que les systèmes de sécurité des cartes bancaires à puce sont d’une importance secondaire contre les attaques de logiciels malveillants. Les pirates peuvent utiliser partout dans le monde les numéros de cartes bancaires dérobés aux États-Unis. Les cartes bancaires européennes, bien qu’équipées de technologies de sécurité plus avancées (puces et codes PIN), sont facilement utilisées aux États-Unis où la protection est uniquement limitée à la bande magnétique des cartes.
Les Européens sont de plus en plus préoccupés par les vols de cartes bancaires, d’autant plus depuis que les prix des cartes bancaires dérobées ne cessent d’augmenter chaque année sur le marché noir. Les experts de Check Point estiment le prix d’une carte Visa ou MasterCard dérobée aux États-Unis est d’environ 4 dollars, tandis que les données d’une carte bancaire européenne peuvent valoir jusqu’à cinq fois plus, soit 20 dollars !
À l’heure de l’omniprésence du numérique et du développement constant de ses spectaculaires potentialités, les entreprises doivent pouvoir compter sur des outils numériques sécurisés. Or, chaque jour, de tous côtés, les exemples de nouvelles vulnérabilités se multiplient.
L’escalade entre les failles découvertes et les parades pour y remédier semble sans fin, d’autant plus que l’origine de ces fragilités réside dans nombre de comportements humains irréfléchis et dans la lenteur de l’indispensable prise de conscience.
Après avoir entendu plus d’une centaine de personnes et analysé en détail les atouts et les fragilités des messages numériques et de leurs canaux de diffusion, l’Office parlementaire d’évaluation des choix scientifiques et technologiques propose d’abord une trentaine de recommandations d’ordre général (culture du numérique, souveraineté, coopération entre les acteurs, droit européen de la donnée) puis un vade-mecum de sécurité numérique à l’usage des entreprises qui voudront bien s’attacher à la construction réfléchie et évolutive dont dépend leur future prospérité.
Face à la mondialisation numérique, l’élaboration de solutions se révèle être d’abord individuelle et nationale pour éviter que les entreprises françaises acquiescent elles-mêmes au pillage de leurs données en les offrant en libre-service.
Mme Anne-Yvonne Le Dain, députée, et M. Bruno Sido, sénateur, ont présenté l’étude de l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST) sur « Sécurité numérique et risques : enjeux et chances pour les entreprises ».
Jan Piskacek, analyste spécialiste des malwares sur mobile chez Avast Software, a récemment découvert une application malveillante sur Google Play appelée « Dubsmash 2 », un « porn clicker » qui circule en arrière-plan des systèmes infectés, favorisant l’ouverture de sites pornographiques et de leurs annonces publicitaires. En outre, l’application lancerait YouTube – s’il est installé sur le mobile de l’utilisateur – et lirait les vidéos.
L’éditeur a averti Google qui a immédiatement supprimé l’application. Toutefois, avant son retrait de Google Play, l’application a pu être téléchargée entre 100 000 et 500 000 fois. Il est donc probable qu’elle soit encore présente sur le système de certains utilisateurs. L’analyste spécialiste des malwares sur mobile, Jan Piskacek, explique à DataSecurityBreach.fr que « De Lena Dunham à Hugh Jackman, toutes les vedettes utilisent Dubsmash, septième application la plus populaire disponible sur Google Play selon le classement actuel et déjà téléchargée plus de 10 millions de fois. Elle permet aux utilisateurs de choisir un son parmi une sélection proposée, d’enregistrer une vidéo d’eux en train de doubler le son choisi et de la partager avec leurs amis via les réseaux sociaux. Cette application, largement adoptée par les adolescents et les célébrités, a également suscité l’intérêt des développeurs de programmes malveillants« .
Une fois l’application « Dubsmash 2 » installée par les utilisateurs persuadés de télécharger la version 2.0 de leur application préférée, aucun indice ne permet de confirmer sa présence sur le terminal. Elle génère en effet à la place une icône intitulée « Réglages IS » très semblable à la véritable icône des réglages sur Android. Il s’agit là d’une ruse courante utilisée par les auteurs de malwares, afin de rendre plus difficile l’accès à l’application à l’origine des problèmes causés. Les activités malveillantes peuvent alors être déclenchées de deux manières différentes : soit via le lancement de « Réglages IS », soit via une interface qui détecte la connectivité du terminal à internet et lance l’application automatiquement si l’utilisateur ne l’a pas fait lui-même.
En s’infiltrant insidieusement, le hacker peut également désactiver le démarrage des services à distance et agir sans que l’utilisateur ne s’aperçoive qu’une action malveillante est en cours sur son terminal. Le pirate peut ainsi télécharger une liste de liens renvoyant vers des sites pornographiques divers à partir d’un lien URL crypté et stocké dans l’application ; ce dernier lance ensuite une vidéo via l’application YouTube installée sur le terminal.
Cette technique aurait permis au pirate de gagner de l’argent via un système de clics sur plusieurs publicités présentes sur les sites pornographiques. Il est probablement passé par un faux système de rémunération au clic contracté avec les annonceurs pensant que leurs publicités étaient diffusées sur de vrais sites. L’application « Dubsmash 2 » est sans danger pour l’utilisateur et moins sophistiquée que les autres familles de malwares tels que Fobus ou Simplocker. Toutefois, elle rappelle que malgré les mesures de protection mises en place par Google pour éviter cela, on trouve encore sur Google Play des applications indésirables qui s’installent insidieusement sur les systèmes, à l’insu des utilisateurs.
Le botnet Beebone enterré vivant Europol vient de mettre fin au botnet Beebone. Plus de 12000 ordinateurs infectés par ce couteau Suisse malveillant.
Beebone, un bot net connu aussi sous le nom de AAEH, permettait à ses « maîtres » d’injecter des logiciels espions dans les machines infectées. Une arme numérique efficace selon Europol. Le 8 Avril, Le centre anti cybercriminalité d’Europol (EC3) a annoncé avoir pris la main sur l’ensemble des serveurs et noms de domaine qui permettaient d’utiliser le bot Beebone (connu aussi sous le nom de AAEH, ndr).
Avec l’aide des autorités néerlandaises, du FBI et du J-CAT, le Cybercrime Action Taskforce, l’ensemble des points de connexion de cet outil pirate ont été bloqués. Ce botnet permettait d’installer différentes formes de logiciels malveillants dans les ordinateurs des victimes. Les premiers chiffres montrent que plus de 12 000 ordinateurs ont été infectés « mais il est probable qu’il y en a beaucoup plus » confirme Europol.
Cette action a été menée avec l’aide des éditeurs de solutions de sécurité informatique (Intel Security, Kaspersky et de Shadow server) et de la remontée d’informations de leurs antivirus. Les FAI et les CERT (Computer Emergency Response Teams) concernés ont été alertés afin de prévenir les victimes. Les attaques ont visés les Etats-Unis, le Japon, Taïwan et l’Inde. (EC3)
Les pirates spécialisés dans la Fraude au président semblent s’intéresser avec grand interet aux entreprises Québecoises.
L’Autorité des marchés financiers, l’organisme de réglementation et d’encadrement du secteur financier du Québec, vient d’afficher sur son site Internet une alerte à destination des dirigeants d’entreprise. Plusieurs courriers particulièrement bien ciblés annoncent la conclusion prochaine d’offres publiques d’achat (OPA).
Ces courriels qui semblent provenir du principal dirigeant de l’entreprise se présentent souvent sous la même forme. Généralement, on y reconnaît que le destinataire du courriel, souvent le contrôleur financier ou le comptable d’entreprise, a été choisi parce qu’il est digne de confiance. On lui demande de transmettre des données bancaires ou de faire un virement bancaire vers une personne externe et de demeurer discret pour respecter la procédure de l’AMF. Dans un cas récent porté à l’attention de AMF, le courriel frauduleux réfère même à un prétendu représentant de l’AMF qui communiquerait par téléphone avec le destinataire du courriel afin de confirmer la réception du courriel.
Les logiciels ransomware qui prennent en otage les données contenues sur un disque dur font de gros dégâts. La preuve avec un opticien qui voit 4000 dossiers de patients chiffrés par un pirate.
Les ransomwares agissent d’une manière sournoise et efficace. Il suffit qu’un utilisateur d’un ordinateur ou d’un smartphone (ordiphone) clique sur un fichier piégé (faux pdf, fausse mise à jour apparue sur Internet, …) pour que le contenu de leur machine soit pris en main par un pirate. Les fichiers sont chiffrés. Ils sont rendus à leur propriétaire légitime en contrepartie d’une rançon.
L’opticien américain Eye Care de Bartlesville indique sur son site Internet avoir été piégé par un CryptoLocker. Bilan, 4000 dossiers de patients ont été pris en otages. Dans son « communiqué de presse », imposé par la loi américaine, l’entreprise n’indique pas la demande de rançon qui permet de déverrouiller le disque dur impacté. Il n’indique pas non plus si des sauvegardes ont permis de retrouver les informations.
Selon Bitdefender, leader technologique des solutions antimalware et expert en cybersécurité, une nouvelle vague de spam a récemment touché des centaines de boites e-mail avec une pièce jointe malveillante « .chm » afin de répandre le tristement célèbre ransomware Cryptowall.
Le .chm est une extension de fichier Microsoft utilisée pour les fichiers d’aide dans les logiciels ou sur Internet. Les fichiers CHM sont particulièrement interactifs et utilisent de nombreuses technologies dont JavaScript, qui peut rediriger un utilisateur vers une URL externe en ouvrant simplement le fichier CHM. Les attaquants exploitent cette possibilité pour y rattacher une charge malveillante, cette méthode est parfaitement logique puisque moins l’utilisateur a d’actions à réaliser plus il a de chance d’être infecté facilement.
Cryptowall est une version avancée de Cryptolocker, un ransomware connu pour dissimuler sa charge malveillante sous couvert d’applications ou des fichiers sains. Une fois lancé, le malware chiffre les documents de l’ordinateur infecté afin que les pirates puissent obtenir une somme d’argent en échange de la clé de déchiffrement. Parmi les règles de base pour se protéger au maximum des pertes de données liées à ce type d’attaques, il convient de réaliser très régulièrement des sauvegardes de ses documents sur un disque externe au réseau.
Le .chm est une extension de fichier Microsoft utilisée pour les fichiers d’aide dans les logiciels ou sur Internet. Il s’agit de fichiers qui embarquent du HTML, des images et du code JavaScript, ainsi qu’une table des matières avec des liens hypertextes – pour avoir une idée, lancez par exemple l’aide de Windows (touche F1).
Plus de 4500 sites français, en .fr, touchés en février par une opération de piratage d’envergure. Le site ZATAZ.COM explique que ce piratage de masse visait à diffuser des liens et des pharmacies illicités dans les sites infiltrés.
Alors que nous aurions pu penser que les administrateurs et autres webmasters de sites Internet avaient compris la leçon après les piratages de dizaines de milliers de sites Français, en janvier 2015, la révélation de zataz.com montre une fois de plus que de trop nombreux gestionnaires de sites Internet se moquent de la sécurité pensant que cela ne leur arrivera jamais. Le webzine zataz explique que plus de 4.500 sites en .fr « et 50 fois plus dans le monde » ont été touchés par une infiltration de masse. Mission des pirates, cacher des liens et des pages renvoyant sur des pharmacies illicites.
Dans l’émission de ce 1er mars 2015, zatazweb.tv montre en image le cas de plusieurs mairies et offices de tourisme français noyés sous les fausses pages dédiées au viagra, cialis… « Nous aurions pu penser qu’après l’opération anti France de janvier 2015, grand nombre d’administrateurs de sites importants auraient compris l’importance des mises à jour. A première vue, c’est raté » confirme zataz. Inquiétant !
