Archives de catégorie : DDoS

Cybersécurité, DDoS, IOT

Réinitialisation Rapide : des hackers ont trouvé un moyen de lancer des attaques DDoS puissantes

Pourquoi autant de DDoS ces derniers temps ? Les cybercriminels exploitent activement la vulnérabilité Réinitialisation Rapide pour mener des blocages numériques.

Août 2023, une vulnérabilité critique dans le protocole HTTP/2, connue sous le nom de CVE-2023-44487 ou Réinitialisation Rapide, est découverte. Cette vulnérabilité est capable de provoquer des attaques de type « déni distribué de service » (DDoS). Un problème sérieux pour les services Internet qui a attiré l’attention des cybercriminels.

HTTP/2 a introduit de nombreuses améliorations par rapport à la version précédente du protocole, notamment le multiplexage de flux, ce qui permet d’ouvrir plusieurs flux via une seule connexion TCP. Cependant, la vulnérabilité Réinitialisation Rapide exploite le mécanisme d’annulation de flux, en utilisant des cadres RST_STREAM pour perturber le fonctionnement du serveur.

Lorsque l’utilisateur accède à un site web prenant en charge HTTP/2, une seule connexion est utilisée pour plusieurs ressources, ce qui améliore l’efficacité de l’interaction. Cependant, cette capacité ouvre la porte à l’exploitation de vulnérabilités, car une seule connexion peut générer de nombreuses requêtes, augmentant la charge sur le serveur. Pour atténuer ce problème, HTTP/2 prévoit un mécanisme de limitation du nombre de flux simultanés actifs, empêchant les clients de surcharger le serveur.

L’exploitation de Réinitialisation Rapide consiste pour un attaquant à envoyer un cadre RST_STREAM immédiatement après avoir envoyé une requête. Cela force le serveur à commencer à traiter la requête, mais à l’annuler rapidement. Bien que la requête soit annulée, la connexion HTTP/2 reste active, permettant à l’attaquant de répéter l’attaque en créant de nouveaux flux. En conséquence, le serveur dépense des ressources à traiter des requêtes annulées, ce qui peut mener à un déni de service et à un blocage fatal.

La vulnérabilité Réinitialisation Rapide [CVE-2023-44487] a causé des attaques DDoS massives et distribuées. Des grandes entreprises telles que Google, AWS et Cloudflare ont signalé des vagues d’attaques atteignant des centaines de millions de requêtes par seconde. Ces attaques ont été réalisées avec des botnets relativement petits, soulignant la gravité de la vulnérabilité.

DDoS, Entreprise

Comprendre les attaques DDoS en 2024 : exemples récents, fonctionnement et contre-mesure

Les pirates informatiques peuvent perturber votre entreprises de nombreuses façons. L’une d’elle, le blocage de votre informatique par DDoS. Explication de cette technique déroutante, mais particulièrement présente dans l’arsenal des hackers malveillants.

Le terme DDoS, ou Distributed Denial of Service (Déni de Service Distribué en français), désigne une attaque visant à rendre un service en ligne indisponible en le submergeant de trafic provenant de multiples sources. Contrairement aux attaques DoS (Denial of Service), qui utilisent une seule source, les attaques DDoS utilisent plusieurs machines infectées par des logiciels malveillants, appelées botnets, pour mener l’attaque simultanément depuis différents endroits. Heureusement, il existe de la protection anti-DDoS.

Comment fonctionne une attaque DDoS ?

Le principe de base d’une attaque DDoS est simple : surcharger un serveur, un réseau ou un site web avec un volume massif de requêtes jusqu’à ce qu’il ne puisse plus répondre aux utilisateurs légitimes. Voici les étapes typiques d’une attaque DDoS :

Infection des Machines : L’attaquant infecte plusieurs ordinateurs ou appareils (ordinateurs, smartphones, objets connectés) avec des logiciels malveillants.
Formation d’un Botnet : Les machines infectées forment un réseau, appelé botnet, contrôlé par l’attaquant.
Lancement de l’Attaque : L’attaquant ordonne au botnet d’envoyer des requêtes massives et simultanées vers la cible.
Saturation de la Cible : La cible (serveur, réseau, site web) est submergée par le volume de requêtes et ne peut plus fonctionner correctement.

Objectifs des attaques DDoS

Les attaques DDoS peuvent avoir plusieurs objectifs :

Perturbation des Services : Rendre un site web ou un service en ligne indisponible, causant des pertes financières et de réputation.
Extorsion : Demander une rançon en échange de l’arrêt de l’attaque.
Diversion : Distraire les équipes de sécurité pendant qu’une autre attaque plus discrète est menée.
Vengeance ou (H)activisme : Punir une organisation ou promouvoir une cause idéologique.

Exemples

GitHub (2018) : GitHub a subi l’une des plus grandes attaques DDoS enregistrées, avec un pic de trafic atteignant 1,35 Tbps. L’attaque a duré environ 20 minutes avant d’être atténuée par des mesures de protection avancées.

Dyn (2016) : Le fournisseur de DNS Dyn a été victime d’une attaque DDoS massive, perturbant l’accès à des sites majeurs comme Twitter, Netflix et PayPal. L’attaque a atteint un pic de 1,2 Tbps et a duré plusieurs heures.

OVH (2016) : Le fournisseur de services internet français OVH a subi une attaque DDoS atteignant 1,1 Tbps, provenant principalement de caméras de surveillance et d’autres objets connectés compromis.

Attaque contre l’État français : En mars 2024, plusieurs services de l’État français ont été ciblés par une attaque DDoS de grande ampleur, affectant plus de 300 domaines web et 177 000 adresses IP, perturbant ainsi de nombreux services publics pendant presque toute une journée. Le groupe de hackers Anonymous Sudan a revendiqué cette attaque​ (ZATAZ)​.

Fournisseur d’hébergement asiatique : Une attaque utilisant une variante du botnet Mirai a atteint un pic de 2 Tbps, ciblant un fournisseur d’hébergement en Asie. Cette attaque est l’une des plus puissantes enregistrées au début de l’année 2024​ (TechRadar)​.

Industries les plus ciblées : Selon les rapports, les industries les plus attaquées par des DDoS en 2024 incluent les secteurs du jeu et des paris en ligne, les technologies de l’information, et la publicité et le marketing. Les attaques HTTP/2 ont particulièrement augmenté, ciblant des vulnérabilités spécifiques pour causer des interruptions de service​ (The Cloudflare Blog)​​ 

Comment se protéger contre les attaques DDoS

Architecture Réseau Résiliente : Utiliser une architecture réseau distribuée pour répartir la charge et éviter un point de défaillance unique.
Surveillance et Détection : Mettre en place des systèmes de surveillance pour détecter les signes d’une attaque imminente.
Limitation de la Bande Passante : Configurer des limites de bande passante pour éviter qu’une seule source de trafic ne sature le réseau.

Solutions techniques

Pare-feu et Systèmes de Détection d’Intrusion (IDS/IPS) : Utiliser des pare-feu et des IDS/IPS pour filtrer le trafic malveillant.
CDN (Content Delivery Network) : Utiliser des CDN pour distribuer le trafic et absorber les attaques DDoS.
Services de Protection DDoS : Faire appel à des services spécialisés comme Cloudflare, Akamai ou AWS Shield qui offrent des protections contre les attaques DDoS.

Réaction en cas d’attaque

Identification et Mitigation : Identifier rapidement l’attaque et mettre en œuvre des mesures de mitigation pour réduire son impact.

Coordination avec les Fournisseurs : Travailler avec les fournisseurs de services internet pour filtrer le trafic malveillant.

Plan de Continuité : Avoir un plan de continuité des opérations pour maintenir les services essentiels en ligne.

Conclusion

Les attaques DDoS représentent une menace sérieuse pour les entreprises et les organisations en ligne. Comprendre leur fonctionnement et leurs objectifs est crucial pour mettre en place des mesures de protection efficaces. Grâce à une combinaison de prévention, de solutions techniques et de plans de réaction, il est possible de minimiser l’impact de ces attaques et de maintenir la disponibilité des services en ligne. En investissant dans des technologies et des services de protection adaptés, les entreprises peuvent se défendre efficacement contre cette menace en constante évolution.

Cybersécurité, DDoS

HTTP/2 Rapid Reset

Une nouvelle vulnérabilité, nommée HTTP/2 Rapid Reset, a été découverte, mettant en scène des attaques DDoS jamais vues auparavant. Une nouvelle menace à l’origine de la plus volumineuse attaque de l’histoire d’Internet !

Cloudflare, Inc. spécialiste dans le domaine de la connectivité cloud, révèle au public avoir contribué à la divulgation d’une nouvelle vulnérabilité zero-day, baptisée « HTTP/2 Rapid Reset ». Cette vulnérabilité mondiale confère aux acteurs malveillants la possibilité de générer des attaques d’un volume encore jamais observé sur Internet.

Afin d’aider à atténuer les effets de cette nouvelle menace DDoS sur l’ensemble de l’écosystème Internet, le spécialiste a spécialement développé une technologie pour bloquer automatiquement n’importe quelle attaque basée sur Rapid Reset pour ses clients.

La société américaine a tout d’abord atténué ces risques avec succès et mis un terme aux abus potentiels pour tous ses clients, tout en donnant le coup d’envoi d’une procédure de divulgation responsable avec deux autres importants fournisseurs d’infrastructure. Elle a ensuite étendu les mesures d’atténuation de cette vulnérabilité à un large pourcentage d’Internet, avant de révéler l’existence de cette dernière au grand public.

« Si cette attaque DDoS et cette vulnérabilité restent au-dessus du lot à l’heure actuelle, les acteurs malveillants ne manqueront pas d’inventer d’autres tactiques et techniques zero-day évolutives, afin de perpétrer de nouvelles attaques. La constance dans la préparation et la capacité d’intervention face à ces menaces réside au cœur de notre mission visant à bâtir un meilleur Internet. » indique Matthew Prince, CEO de Cloudflare.

Anatomie de la vulnérabilité HTTP/2 Rapid Reset

Fin août 2023, il a découvert une vulnérabilité zero-day, développée par un acteur malveillant inconnu. La vulnérabilité exploite le protocole HTTP/2 standard, un composant fondamental du fonctionnement d’Internet et de la plupart des sites web. Le protocole HTTP/2 est responsable de la manière dont les navigateurs interagissent avec un site web, en leur permettant de « requérir » l’affichage rapide de certains éléments (comme le texte et les images) et tous à la fois, peu importe la complexité du site. Cette nouvelle attaque fonctionne en effectuant des centaines de milliers de « requêtes » et en les annulant immédiatement. En automatisant ce processus de « requête, annulation, requête, annulation » à grande échelle, les acteurs malveillants parviennent à submerger les sites web et peuvent entraîner la mise hors ligne de n’importe quel équipement utilisant le HTTP/2.

La vulnérabilité « Rapid Reset » confère aux acteurs malveillants un tout nouveau moyen, particulièrement puissant, d’attaquer leurs victimes sur Internet à un niveau d’envergure supérieur à tout ce qu’Internet a connu jusqu’ici. Le protocole HTTP/2 constitue la base d’environ 60 % de l’ensemble des applications web. Il détermine la vitesse et la qualité avec laquelle les utilisateurs voient et interagissent avec les sites web.

D’après les données, plusieurs attaques tirant parti de Rapid Reset ont été estimées à une ampleur près de trois fois supérieure à celle de l’attaque DDoS la plus volumineuse de l’histoire d’Internet. Au point culminant de cette campagne d’attaques DDoS, il a été enregistré et traité plus de 201 millions de requêtes par seconde (Mr/s), tout en se chargeant de l’atténuation des milliers d’attaques supplémentaires qui ont suivi.

Déjouer l’attaque en compagnie d’autres pairs du secteur

Les acteurs malveillants utilisant des méthodes d’attaques susceptibles de pulvériser tous les records ont énormément de mal à tester et à comprendre leur efficacité, du fait de leur absence d’infrastructure capable d’absorber les attaques. C’est pourquoi ils les testent souvent contre des fournisseurs, afin de mieux comprendre les performances futures de leurs attaques.

« Bien que les attaques de grande ampleur (comme celles qui tirent parti de vulnérabilités telles que Rapid Reset) puissent se révéler complexes et difficiles à atténuer, elles nous fournissent une visibilité sans précédent sur les nouvelles techniques employées par les acteurs malveillants, et ce à un stade précoce de leur processus de développement. S’il n’existe pas de « procédure parfaite » en matière de révélation de vulnérabilité« .

La NSA et la CISA pointent les principales erreurs de configuration en matière de cyber sécurité 

L’Agence de Sécurité Nationale (NSA) et l’Agence de Cybersécurité et de Sécurité des Infrastructures (CISA) ont révélé les dix erreurs de configuration les plus courantes en matière de cybersécurité, découvertes par leurs équipes dans les réseaux des grandes organisations.

L’avis détaille également les tactiques, techniques et procédures (TTP) utilisées par les acteurs de la menace pour exploiter avec succès ces mauvaises configurations avec différents objectifs, notamment l’accès, le déplacement latéral et le ciblage d’informations ou de systèmes sensibles.

Les dix configurations de réseau les plus courantes découvertes lors des évaluations des équipes et par les équipes de chasse et de réponse aux incidents de la NSA et de la CISA sont les suivantes :

  • Configuration par défaut de logiciels et d’applications;
  • Séparation inadéquate des privilèges de l’utilisateur et de l’administrateur;
  • Surveillance insuffisante du réseau interne;
  • Absence de segmentation du réseau,
  • Mauvaise gestion des correctifs;
  • Contournement des contrôles d’accès au système;
  • Méthodes d’authentification multifactorielle (MFA) faibles ou mal configurées;
  • Listes de contrôle d’accès (ACL) insuffisantes sur les partages et les services du réseau;
  • Mauvaise hygiène des informations d’identification ;
  • Exécution de code sans restriction.
Cyber-attaque, Cybersécurité, DDoS

Augmentation alarmante des cyber attaques DDoS

Cloudflare signale une « augmentation alarmante » de la sophistication DDoS, une escalade ces derniers mois. La guerre RussoUkrainienne n’y serait pas pour rien !

Les attaques utilisées pour rendre les sites Web et les services Web inaccessibles évoluent et deviennent de plus en plus préoccupantes, a déclaré la société Cloudflare. Le deuxième trimestre de 2023 a vu « une escalade alarmante dans la sophistication » des attaques par déni de service distribuées DDoS, affirme le fournisseur de solution web, soulignant une prolifération d’attaques numériques plus ciblées conçues pour perturber des sites Web et d’autres services connectés.

La société a déclaré dans son rapport sur les menaces du deuxième trimestre qu’elle avait suivi des milliers d’attaques lancées par un consortium de groupes hacktivistes pro-russes, une augmentation des attaques ciblées sur le système de noms de domaine et un 600 % d’augmentation des attaques DDoS sur les sites Web de crypto-monnaie.

Bien que les attaques DDoS soient parfois considérées comme peu sophistiquées et plus gênantes qu’autre chose, elles peuvent être très perturbatrices. « La récupération d’une attaque DDoS peut durer beaucoup plus longtemps que l’attaque elle-même – tout comme un boxeur peut avoir besoin d’un certain temps pour se remettre d’un coup de poing au visage qui ne dure qu’une fraction de seconde« , ont écrit Omer Yoachimik et Jorge Pacheco. Une intensité, en particulier concernant les menaces dans le contexte de la guerre russe contre l’Ukraine.

Les machines virtuelles basées sur le cloud et les serveurs privés virtuels permettent des attaques plus importantes dans le cadre d’une « nouvelle génération de botnets« . Ces nouveaux botnets sont capables de fournir des milliers de fois plus de trafic que les réseaux traditionnels. Pour rappel, en février, une telle attaque a produit la plus grande attaque DDoS jamais enregistrée.

Parmi les développements préoccupants au cours des trois derniers mois, figure l’augmentation de 15 % des attaques HTTP DDoS , qui ciblent les sites Web et les passerelles tierces vers ces sites, alors même que ce type d’attaque a diminué d’année en année.

« Il semble que les acteurs de la menace derrière ces attaques aient délibérément conçu les attaques pour essayer de surmonter les systèmes d’atténuation en imitant habilement le comportement du navigateur de manière très précise, dans certains cas, en introduisant un degré élevé de randomisation sur diverses propriétés telles que les agents utilisateurs et JA3 empreintes digitales pour n’en nommer que quelques-unes, ont écrit les auteurs. Dans bon nombre de ces attaques, il semble que les acteurs de la menace essaient de maintenir leur taux d’attaque par seconde relativement bas pour essayer d’éviter la détection et de se cacher parmi le trafic légitime.« 

Microsoft a subi une telle attaque début juin dans le cadre d’un assaut plus large contre l’entreprise attribué à un groupe qu’il appelle Storm-1359, ou plus largement Anonymous Sudan. Le groupe est affilié à plusieurs réseaux d’hacktivistes pro-russes, dont Killnet, UserSec, et pourrait lui-même être un produit direct ou un groupe travaillant en collaboration avec les intérêts du gouvernement russe.

cyberattaque, DDoS

Les attaques DDoS restent l’un des principaux types d’incidents identifiés en 2022

Selon le dernier Data Breach Investigations Report (DBIR) publié par Verizon, en 2022 les attaques DDoS restent l’un des principaux types d’incidents identifiés avec les attaques par botnets. Mirai, Emotet, LemonDuck sont autant de noms qui, hors contexte, pourraient faire sourire, mais qui, dans le monde de la cybersécurité, donnent du fil à retordre aux équipes informatiques des organisations du monde entier, et ce avec des méthodes d’attaques somme toute très simples.

Les cybercriminels se sont non seulement banalisés – aujourd’hui n’importe qui peut s’improviser hacker, grâce aux outils disponibles sur le darkweb – mais ils ont également amélioré leurs méthodes d’attaque, pour la plupart établies de longue date, en y apportant de nouvelles modifications et stratégies. C’est le cas des botnets, qui existent depuis les années 1980.

En effet, un rapide historique de ces réseaux de bots informatiques – des programmes connectés à internet qui communiquent avec d’autres programmes similaires pour l’exécution de certaines tâches –, met en évidence la manière dont, en l’espace de 20 ans, les pirates ont modifié leur façon de les utiliser.

Les premiers du genre ont été déployés sur des ordinateurs de type serveur. Par la suite, les attaquants ont commencé à créer des botnets capables de mener des attaques par déni de service distribué (DDoS) en compromettant des ordinateurs personnels (PC) ; ils continuent d’ailleurs aujourd’hui à les utiliser afin de créer des botnets et lancer des attaques DDoS.

« À l’heure actuelle, les botnets de l’internet des objets (IoT) sont monnaie courante, les cybercriminels lançant généralement des attaques DDoS par l’intermédiaire de dispositifs IoT, via une infrastructure commune de commande et de contrôle (C2). Ces botnets ont vu leur popularité monter en flèche après la fuite du code source du botnet IoT Mirai en 2016. » confirme Philippe Alcoy, de chez NETSCOUT.

La stratégie malveillante évolue

Cependant, les acteurs malveillants ont à nouveau modifié leur stratégie en augmentant la taille des botnets IoT et en intégrant des serveurs puissants dans des botnets plus importants. Les serveurs sont utilisés pour lancer des attaques DDoS ciblées contre des actifs de grande valeur. Toutefois, il est intéressant de remarquer que les attaquants font évoluer leur stratégie pour créer de puissants botnets Mirai.

De nouveaux botnets Mirai de type serveur sont désormais créés et utilisés pour lancer des attaques DDoS directes à fort impact. Ainsi, malgré un coût beaucoup plus élevé pour une organisation malveillante, les cybercriminels privilégieront une attaque DDoS directe par botnet, pour s’assurer de dommages de très grande envergure, comme l’ont démontrés deux des attaques de plus de 2,5 Tbps détectées au deuxième semestre 2021.

Si ce type d’attaque est coûteux, il est accessible à toute personne ayant les moyens de le provoquer, ce qui en fait un outil redoutable. Explication en vidéo.

Si différentes tendances fluctuent à travers le monde, les attaques DDoS par botnet ne doivent surtout pas être minimisées. Elles constituent bel et bien une menace de taille pour les entités gouvernementales, les établissements de santé et les entreprises, et ce sans distinction. De plus, si on remarque une sophistication des techniques d’attaque, il est intéressant de noter que les profils des acteurs malveillants sont variés et parfois loin de la professionnalisation ; d’où la nécessité d’anticiper tout type de menace afin de mieux s’en prémunir.

Cyber-attaque, DDoS, Securite informatique

Plus de 9 millions d’attaques DDoS en 2021

Pirates, services DDoS-for-Hire et autres armées de botnets de classe serveur ont facilité le lancement d’attaques de plus en plus sophistiquées. Plus de 9 millions de cyberattaques de type DDoS en 2021 !

La nouvelle étude semestrielle Threat Intelligence Report de la société Netscout affiche une année 2021 très « hard » du côté de la cyber. Au cours du second semestre 2021, les cybercriminels ont lancé environ 4,4 millions d’attaques par déni de service distribué (DDoS), portant à 9,75 millions le nombre total d’attaques de ce type effectuées au cours de l’année. Bien qu’en baisse de 3 % par rapport au record établi au plus fort de la crise sanitaire, ces attaques se poursuivent à un rythme supérieur à 14 % aux niveaux pré pandémiques.

Le second semestre 2021 a été marqué par la mise en place d’armées de botnets de très grande puissance et par un rééquilibrage entre les attaques volumétriques et les attaques par voie directe sans usurpation ; créant des procédures opérationnelles plus sophistiquées pour les attaquants, qui ont pu ajouter de nouvelles tactiques, techniques et méthodes à leur arsenal.

« S’il est tentant de considérer la baisse du nombre total d’attaques comme un recul de l’activité des cybercriminels, nous avons constaté une activité sensiblement plus importante par rapport aux niveaux antérieurs à la pandémie, a déclaré Richard Hummel, responsable des renseignements sur les menaces de NETSCOUT. En réalité, les attaquants innovent et utilisent en permanence de nouvelles techniques, telles que les botnets de type serveur, les services DDoS-for-Hire et le lancement accru d’attaques par voie directe, qui contribuent à la transformation permanente du paysage des menaces. »

Hausse des extorsions DDoS et des ransomwares — Trois campagnes DDoS de grande ampleur ont eu lieu simultanément, établissant un nouveau record. Des gangs de ransomware, parmi lesquels Avaddon, REvil, BlackCat, AvosLocker et Suncrypt, ont été identifiés alors qu’ils utilisaient le DDoS pour extorquer leurs victimes. Forts de ce succès, certains groupes de ransomwares exploitent des opérateurs d’extorsion DDoS se faisant passer pour des affiliés — c’est le cas par exemple d’une campagne d’extorsion DDoS signée par REvil.

Les services Voix sur IP, à leur tour victimes d’extorsions DDoS — Des campagnes d’extorsion DDoS ont été menées à travers le monde par un imitateur de REvil contre plusieurs prestataires de services de téléphonie sur Internet (VoIP). L’un d’eux a fait état d’une perte de comprise entre 9 et 12 millions de dollars à cause des attaques DDoS.

Les services DDoS-for-Hire simplifient le processus d’attaque — NETSCOUT a examiné 19 services DDoS-for-Hire, ainsi que les moyens qu’ils utilisent pour éliminer les exigences techniques et le coût de lancement d’offensives DDoS de grande envergure. Ensemble, ils proposent plus de 200 types d’attaques.

Les attaques ont progressé de 7 % dans la région APAC, mais reculé dans les autres régions — Dans un contexte géopolitique tendu en Chine, à Hong Kong et à Taïwan, la région APAC a connu la plus forte augmentation du nombre d’attaques en variation annuelle par rapport aux autres régions du monde.

Les armées de botnets de classe serveur débarquent — Les cybercriminels ont non seulement augmenté le nombre de botnets connectés à l’Internet des objets (IoT), mais également enrôlé des serveurs de très forte puissance et des périphériques connectés de grande capacité, avec notamment les botnets GitMirai, Mēris et Dvinis.

Les attaques par voie directe gagnent en popularité — Les groupes de hackers ont submergé les entreprises par leurs attaques DDoS de type TCP Flood et UDP Flood, également connues sous le nom d’attaques par voie directe ou sans usurpation. Parallèlement, le recul de certaines attaques par amplification a fait baisser le nombre total d’agressions.

Les pirates ciblent principalement certaines activités — Les secteurs les plus touchés sont les éditeurs de logiciels (hausse de 606 %), les agences et courtiers d’assurance (+257 %), les fabricants d’ordinateurs (+162 %) et les collèges, universités et établissements d’enseignement professionnel (+102 %).

L’attaque DDoS la plus rapide en hausse de 107 % par rapport à l’année précédente — Regroupant les vecteurs DNS, d’amplification DNS, ICMP, TCP, ACK, TCP RST et TCP SYN, l’attaque multi vectorielle lancée contre une cible russe a atteint le débit de 453 millions de paquets par seconde (Mpps).

cyberattaque, DDoS

Le secteur industriel plus que jamais menacé

Cloudflare, spécialiste de la sécurité, la fiabilité et la performance d’internet, présente son rapport sur les attaques DDoS du 4ème trimestre 2021. Un palmarès qui souligne l’importance de la fortification des cyberattaques. La découverte, en décembre, de la vulnérabilité Log4, considérée comme l’une des plus importante et dangereuse en est la preuve.
  • Le secteur industriel plus que jamais menacé : Pour la première fois, l’industrie arrive en tête des secteurs les plus attaqués. Au dernier trimestre 2021, Cloudflare enregistrait une hausse de 641% du nombre d’attaques par rapport au trimestre précédent. Ces menaces viennent affaiblir un secteur déjà très affecté par la pénurie de matières premières et des difficultés de livraison qui l’empêchent de répondre à la demande croissante. En deuxième et troisième position, on retrouve respectivement les services aux entreprises et le secteur du gaming.
  • Les ransomwares continuent de progresser : Alors que le botnet Meris était en première ligne au trimestre précédent, la fin de l’année a vu le nombre de ransomwares augmenter de 175%. Dans une enquête réalisée par Cloudflare, 22% des répondants affirmaient avoir reçu une demande de rançon.
  • Une attaque de 2 Tbps déjouée : En novembre dernier, Cloudflare a subi une tentative d’attaque qui, à son plus haut pic, enregistrait de 2 Tbps. A ce jour, il s’agit de l’attaque la plus puissante ayant ciblée l’entreprise et ce, alors qu’elle n’a duré qu’une minute.

En savoir plus.

DDoS

Augmentation des DDos

Les tendances des attaques DDoS au dernier trimestre de 2020 ont défié les normes à bien des égards. Pour la première fois en 2020, il a été observé une augmentation du nombre d’attaques DDoS. Le nombre d’attaques de plus de 500 Mbps et 50 000 pps a connu une augmentation massive.

En outre, les vecteurs d’attaque ont continué d’évoluer, les attaques basées sur des protocoles ayant augmenté de 3 à 10 fois par rapport au trimestre précédent confirme Cloudflare. Les assaillants ont également été plus persistants que jamais – près de 9% de toutes les attaques observées entre octobre et décembre 2020 ont duré plus de 24 heures.

Pour la première fois en 2020, le nombre total d’attaques observées au quatrième trimestre a diminué par rapport au trimestre précédent. 73% de toutes les attaques observées ont duré moins d’une heure, contre 88% au troisième trimestre. Alors que les inondations SYN, ACK et RST ont continué à être les principaux vecteurs d’attaque déployés, les attaques sur NetBIOS ont connu une augmentation considérable de 5 400%, suivies de celles sur ISAKMP et SPSS.

Les centres de données de Cloudflare basés à Maurice, en Roumanie et au Brunei ont enregistré les pourcentages les plus élevés d’activité DDoS par rapport au trafic normal. Les attaques par rançon DDoS (RDDoS) continuent de cibler des organisations du monde entier alors que des groupes criminels tentent d’extorquer une rançon sous la forme de Bitcoin sous la menace d’une attaque DDoS comme expliqué dans un article de ZATAZ, en mai 2016 et octobre 2020.

Communiqué de presse, Cybersécurité, DDoS, IOT, Piratage, Securite informatique

Le passage de la quantité à la qualité : 2018 a vu les cybercriminels abandonner les opérations DDoS de base

Le rapport sur les attaques DDoS pour le 4ème trimestre, englobant les statistiques du dernier trimestre mais aussi l’ensemble de l’année 2018, met en lumière un recul de 13 % du nombre total d’attaques DdoS par rapport à l’année précédente. Cependant, la durée des assauts mixtes et de type Flood HTTP va croissant, ce qui semble indiquer que les cybercriminels se tournent vers des techniques d’attaque DdoS plus élaborées.

Le faible coût des services DDoS à louer fait de ce type d’attaque l’une des cyber-armes les plus abordables. Les entreprises, quel que soit leur taille ou leur secteur d’activité, peuvent être confrontées à cette menace et subir des pertes de revenus et de réputation dans le cas où leurs utilisateurs légitimes et leurs clients sont dans l’impossibilité d’accéder aux ressources web de la société.

Bien que la quantité d’attaques DDoS ait reculé en 2018, il est trop tôt pour s’en réjouir car cette baisse en nombre ne signifie pas pour autant que les assauts sont moins graves. Selon les chercheurs de Kaspersky Lab, alors que les entreprises sont de plus en plus nombreuses à adopter des solutions pour se protéger des formes d’attaques DDoS élémentaires, il est probable qu’en 2019 les assaillants vont améliorer leurs compétences afin de contourner les mesures de protection DDoS standard et franchir un nouveau palier en termes de sophistication.

Moins d’attaques, mais plus puissantes

En dépit de la diminution du nombre des attaques, l’analyse des experts de Kaspersky Lab révèle que leur durée moyenne est en hausse. Comparée au début de l’année 2018, la longueur moyenne d’un assaut a plus que doublé, passant de 95 minutes au premier trimestre à 218 minutes au quatrième. Il est à noter que les attaques Flood UDP (qui consistent à saturer les ports du serveur cible avec une masse de paquets UDP afin de le rendre inaccessible aux utilisateurs), lesquelles ont représenté près de la moitié (49 %) des assauts DDoS en 2018, ont été très courtes, dépassant rarement 5 minutes.

Selon les experts de Kaspersky Lab, la brièveté des attaques Flood UDP illustre un rétrécissement du marché pour les assauts plus faciles à organiser. La protection contre les attaques DDoS de ce type est désormais largement mise en place, rendant celles-ci inefficaces dans la plupart des cas. Les chercheurs avancent que les attaquants lancent de nombreux assauts Flood UDP afin de tester la protection d’une ressource ciblée. S’il est immédiatement clair que ces tentatives sont vouées à l’échec, leurs auteurs n’insistent pas.

Dans le même temps, les attaques plus complexes (détournement de HTTP, par exemple) qui nécessitent un investissement en temps et en argent, vont conserver une longue durée. Comme le révèle l’étude, la méthode Flood HTTP et les attaques mixtes comprenant une composante HTTP, dont la proportion est relativement faible (respectivement 17 % et 14 %), représentent environ 80 % de la durée totale des attaques DDoS sur l’ensemble de l’année.

DDoS au cryptominage

« Lorsque les attaques DDoS les plus simples n’atteignent pas leur objectif, ceux qui en tirent profit ont le choix entre deux solutions. Soit ils peuvent reconfigurer les capacités requises pour ces assauts afin de les réorienter vers d’autres sources de revenus, telles que le cryptominage. Soit ils doivent améliorer leurs compétences techniques, faute de quoi leurs commanditaires s’adresseront à des cybercriminels plus chevronnés. Compte tenu de cela, nous pouvons nous attendre à une évolution des attaques DDoS en 2019 et il deviendra plus difficile pour les entreprises de les détecter et de s’en protéger », commente Alexey Kiselev, responsable du développement pour l’équipe de protection DDoS de Kaspersky Lab.

Concernant les résultats du dernier trimestre 2018, la plus longue attaque DDoS observée au cours de cette période a duré 329 heures (près de 14 jours). Il faut remonter à la fin de 2015 pour retrouver une telle durée.

Les trois pays à l’origine du plus grand nombre d’attaques DDoS restent inchangés. La Chine vient une fois encore au premier rang, même si sa part a chuté de 77,67 % à 50,43 %, toujours suivie des Etats-Unis et de l’Australie.

Pour ce qui est de la répartition des cibles, la Chine demeure en tête de liste, mais avec une part là aussi en recul à 43,26 % (contre 70,58 % au troisième trimestre 2018).

Au quatrième trimestre, il faut également noter des changements dans les pays hébergeant le plus de serveurs de commande et contrôle (C&C). Comme au trimestre précédent, les Etats-Unis conservent la première place mais ce sont à présent le Royaume-Uni et les Pays-Bas qui arrivent en deuxième et troisième position, remplaçant respectivement la Russie et la Grèce, sans doute en raison d’une nette augmentation du nombre de serveurs C&C actifs du botnet Mirai dans ces deux pays.

BYOD, Cyber-attaque, Cybersécurité, DDoS, Entreprise, IOT, Piratage, Propriété Industrielle, Securite informatique

Prison pour un vendeur de DDoS

Un tribunal de Londres vient de condamner un pirate informatique Israélo-Britannique. Il vendait des attaques de DDoS.

Daniel Kaye, 30 ans, qui se faisait appeler dans l’underground « BestBuy » et « Popopret » vient d’écoper de deux ans et huit mois de prison ferme pour avoir lancé des attaques de type DDoS. Des Dénis Distribués de Service qui ont visé, entre autres, Lonestar Cell MTN, une société de télécommunication basée au Libéria.

Des DDoS qui ont perturbé l’Internet du pays et aurait causé des dizaines de millions de dollars de dommages.

Pour réussir ses malveillance, Popopret a exploité le botnet malveillant Mirai. Parmi les autres cibles de ce pirate : Lloyds Bank, Bank of Scotland et la banque Barclays.

Mirai comme arme numérique

À partir de septembre 2016, Kaye a utilisé son propre réseau de robots Mirai, constitué d’un réseau de caméras de sécurité Dahua infectées, pour mener des attaques sur Lonestar.

En novembre 2016, le trafic généré par le botnet de Kaye était si important que l’accès Internet à travers le Libéria a été totalement désactivé.

Un mandat d’arrêt européen a été émis contre Kaye et à son retour au Royaume-Uni en février 2017, il a été arrêté par des agents de la NCA. Il sera dans la foulée extradé à la demande de l’Allemagne. Il sera condamné à de la prison avec sursis pour des attaques similaires à l’encontre de Deutsche Telekom (novembre 2016).

Embauché par un concurrent !

Selon la National Crime Agency (NCA), les cyber-limiers du Royaume-Uni, Kaye a été embauché par un concurrent de Lonestar, Cellcom. Contre de l’argent, Daniel Kaye a lancé de multiples blocages.

C’est à la suite de sa condamnation allemande que Popopret a été extradé au Royaume-Uni. Kaye aurait commercialisé son réseau à d’autres pirates. Le pirate était aussi un utilisateur de stresser pour commercialiser ses actions malveillantes.

Cyber-attaque, Cybersécurité, DDoS, IOT, Piratage, santé, Securite informatique

10 ans de prison pour des DDoS à l’encontre d’hôpitaux

Un internaute de 34 ans condamné à 10 ans de prison pour avoir lancé des attaques de DDoS, sous le masque Anonymous. Ils voulaient punir des centres de soins américains.

Dix ans de prison pour un DDoS critique ! Toute l’affaire débute en avril 2014. Un internaute, s’annonçant comme membre Anonymous, lance plusieurs attaques informatiques de type DDoS. Des Dénis Distribués de Services à l’encontre du Boston Children’s Hospital et du Wayside Youth Family Support.

L’Anonymous voulait soutenir une jeune fille, Justina Pelletier. Cette dernière, par décision médicale, avait été séparée de ses parents.

Bilan, une opération Anonymous s’organise, la #OpJustina.

Plusieurs internautes participent à « l’op », dont Martin Gottesfeld.

10 ans de prison !

40 000 routeurs, via un bot, utilisés pour lancer ce DDoS.

Reconnu coupable en août 2018, il écope aujourd’hui de 443 000 dollars de dommages et intérêts et 10 ans de prison.

L’attaque a été si puissante que l’hôpital de Boston mettra deux semaines pour relancer ses services. Un DDoS qui impactera, sans que cela soit prévu par le pirate, plusieurs autres hôpitaux de la région.

backdoor, Base de données, Chiffrement, cryptomonnaie, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Leak, Particuliers, Piratage, ransomware, ransomware, Securite informatique

Exploit kits : Les USA n° 1 en nombres d’adresses Web malveillantes

2 commentaires

Au deuxième trimestre, les États-Unis étaient en tête concernant l’hébergement de domaines malveillants et d’exploit kits. La Chine passe de la 2e à la 7e position.

Mails malveillants, exploit kits et compagnie ! L’Unit42, unité de recherches de Palo Alto Networks, analyse régulièrement les données en provenance de son ELINK (Email Link Analysis) pour détecter les modèles et les tendances sous-jacentes aux menaces actuelles sur le Web. Aujourd’hui, l’Unit42 partage son analyse pour la période d’avril à juin 2018 (retrouvé le précédent rapport portant sur la période de janvier à mars 2018 ici. L’Unit42 fournit également une analyse détaillée des attaques contre la faille CVE-2018-8174 (voir plus bas en lien) en utilisant l’exploit Double Kill.

Ce trimestre l’Unit42 a constaté peu d’évolution dans les vulnérabilités exploitées, y compris certaines particulièrement vieilles. Toutefois, l’une d’entre elles, toute nouvelle, s’appuyait sur une faille zero-day arrive en tête de la liste. Les États-Unis demeurent le premier pays en nombre de domaines malveillants hébergés, avec également une part en forte hausse des Pays-Bas. En dehors de ces deux pays, le nombre de domaines malveillants hébergés baisse radicalement à travers le globe, y compris en Russie et en Chine.

USA, TOP 1 de l’hébergement d’exploit kits

Les États-Unis sont également les premiers en ce qui concerne l’hébergement d’exploit kits (EKs) dans le monde avec un ratio de deux pour un comparé avec le pays arrivant juste derrière en deuxième position, la Russie. De fait, à eux seuls les États-Unis hébergent plus d’EKs que l’ensemble des autres pays. Les exploits kits pour KaiXin, Sundown et Rig sont restés aussi actifs au deuxième trimestre qu’au premier. Avec des différences régionales notables : KaiXin se trouvant particulièrement en Chine, à Hong Kong et en Corée alors que Grandsoft (un nouveau venu chez les EKs), Sundown et Rig dominent partout ailleurs.

En nous basant sur ses constatations, l’Unit42 conseille aux entreprises de s’assurer que Microsoft Windows, Adobe Flash et Adobe Reader sont parfaitement à jour aussi bien en ce qui concerne les version que les mises à jour de sécurité. De plus, les entreprises devraient plutôt chercher à restreindre les privilèges des comptes utilisateurs pour limiter les dommages causés par les malwares. Enfin, les protections contre les URL et les domaines malveillants et la sécurisation des points d’accès pour prévenir l’infection par des malwares peuvent limiter l’impact des menaces dont nous discutons dans ce billet.

Les États-Unis demeurent le premier pays en nombre d’hébergement

Au total, à l’exception des Pays-Bas, le nombre de domaines malveillants hébergés hors États-Unis est nettement moins important que ce qui avait été constaté au premier trimestre.
L’Unit42 a noté une hausse importante des domaines malveillants hébergés aux Pays-Bas.
Elle a constaté une baisse importante des domaines malveillants hébergés en Russie et en Chine qui sont désormais tous deux à égalité en septième position de la liste.
Bien qu’aillant observé une forte baisse des domaines malveillants hébergés à Hong Kong, la ville demeure le troisième hébergeur du classement
L’Australie arrive en quatrième position, mais sans réelle augmentation des hébergements.
Le nombre de domaines malveillants hébergés en Allemagne a été réduit de moitié.
Le nombre de domaines malveillants hébergés en Italie et au Royaume-Uni n’a pas bougé. Toutefois, en raison du déclin généralisé hors États-Unis et Pays-Bas, ils ne sont plus à égalité en troisième position, mais en sixième.

Vulnérabilités

La CVE-2018-8174, une vulnérabilité touchant VBScript de Microsoft, qui a été utilisée dans des attaques zero-day et qui a fait l’objet d’un patch en mai, a été très largement utilisée ce trimestre. De vulnérabilités très vieilles sont toujours très utilisées. CVE-2009-0075, une faille concernant Internet Explorer 7 qui a neuf ans et demi était dans le top 5 le trimestre dernier et arrive en 4e position ce trimestre. CVE-2008-4844, une autre faille tout aussi ancienne affectant Internet Explorer 5, 6 et 7 arrive ce trimestre en 5e position. Les failles visées restent identiques. Quatre des cinq premières failles exploitées ce trimestre étaient déjà dans notre top 6 le trimestre dernier (CVE-2016-0189, CVE-2014-6332, CVE-2009-0075 et CVE-2008-4844).

Exploit kits

Les États-Unis ont été la première source de déploiement pour Grandsoft, Sundown et Rig. La deuxième nation pour KaiXindevenant ainsi la première source de déploiement pour les exploit kits en général. Dénombré, deux fois plus d’exploit kits aux États-Unis au total que dans le deuxième pays de ce classement, à savoir, la Russie. La Russie est arrivée en deuxième position mondiale uniquement pour Grandsoft, Sundown et Rig. KaiXin principalement en Chine, à Hong Kong et en Corée, avec une distribution plus limitée aux États-Unis et aux Pays-Bas.  Conformément à d’autres résultats du rapport de l’Unit42, les Pays-Bas arrivent en 5e position sur ce classement, principalement pour Grandsoft, Sundown et Rig mais aussi pour KaiXin. L’Australie arrive en 6e position. KaiXin, implanté dans la zone Asie-Pacifique, n’existe pas en Australie. Seulement Grandsoft, Sundown et Rig.

Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, ransomware, ransomware, RGPD, Securite informatique

Cyberattaques : mon voisin, le pirate !

3 commentaires

Cyberattaques – On a l’habitude de dire que l’été est une période propice aux cambriolages. Mais il en de même pour le piratage qui ne « baisse pas pavillon »… bien au contraire. En effet, la cuvée 2018 a été marquée par une série de cyberattaques diverses et variées. C’est l’occasion de rappeler que la cybersécurité est un enjeu crucial tant au niveau local que global, qu’il s’agisse de grandes entreprises ou de petites structures, du secteur privé ou public.

Marie-Benoîte Chesnais, experte en cybersécurité chez CA Technologies, fait le point sur les principaux évènements de l’été, liés à cette menace grandissante qu’est le « piratage ».

Cyberattaques : Les temps forts de l’été

Au début de l’été, le FBI a adressé une note confidentielle aux banques américaines concernant des risques potentiels d’attaques informatiques visant les distributeurs de billets (« ATM Cashout »). L’Inde en a finalement été la première victime, le 11 août dernier. Le « butin », d’un montant d’environ 10 millions d’euros, retiré dans plus de 2 100 distributeurs de billets, dispersés dans 28 régions différentes du pays. Une sacre logistique.

Début août, c’est une mairie du Var (La Croix-Valmer), victime d’une attaque par « cryptovirus ». Les données des administrés prises en otage contre rançon. Refusant de céder aux pirates, la mairie a dû réunir une cellule de crise composée d’informaticiens afin de tenter de désamorcer la situation. Cependant, avec la mise en place du RGPD, la mairie encourt une amende salée…

Cyberattaques à l’encontre de banque

Le 26 août, sur fond de soupçon de revendications politiques, c’est la Banque d’Espagne qui, cette fois-ci, a dû composer avec un site internet bloqué par intermittence, fort heureusement sans conséquences sur la bonne marche des services. De même, en Belgique, les services publics fédéraux visés chaque semaine par des attaques.

Les failles de sécurité sont lourdes de conséquences mais peuvent également entacher la notoriété des entreprises. A titre d’exemple, Instagram constate une recrudescence des attaques, sous la forme de tentatives de « phishing » ou d’hameçonnage dont le nombre est passé de 150 à plus de 600 par jour.

A noter le bilan ÉTÉ Français de ZATAZ.COM sur les fuites de données dans l’hexagone.

Argent, Arnaque, backdoor, Banque, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, ransomware, Securite informatique

Cybermenaces : Que font les pirates en 1 minute ?

Cybermenaces : Les pirates feraient perdre plus de 1 million de dollars par minute dans leurs actions malveillants.

Alors que les cybercriminels et les cybermenaces ont coûté 600 milliards de dollars à l’économie mondiale l’an dernier, la société RiskIQ, spécialiste dans la gestion des menaces numériques, a fait appel à des recherches exclusives pour examiner le volume croissant d’activités malveillantes sur Internet.

L’étude montre que, dans une seule minute employée par les pirates informatique du globe, 1 138 888 dollars sont perdus. Dans ce même laps de temps, 1 861 personnes sont victimes d’un acte de piratage. Malgré les efforts des entreprises pour se protéger contre les cybermenaces externes, en dépensant jusqu’à 171 233 dollars en 60 secondes aux USA, les pirates continuent à proliférer et à lancer des campagnes malveillantes.

« Alors qu’Internet et sa communauté continuent de croître à un rythme rapide, le ciblage de la menace se développe également à grande échelle« , déclare à DataSecurityBreach.fr le PDG de RiskIQ, Elias Manousos.

Les tactiques d’attaque

Les méthides d’attaques ? Elles vont des logiciels malveillants au phishing en passant par les attaques de chaînes d’approvisionnement ciblant des tiers. Les motivations pirates incluent l’argent, les dommages à la réputation à grande échelle, la politique et l’espionnage. Les cybercriminels continuent de réussir à déployer des tactiques à partir de 1 274 logiciels malveillants uniques (par minute) et à déployer plus de neuf publicités piégées.

Activités malveillantes

Selon la société américaine RiskIQ, toutes les minutes, 1,5 entreprises de part le monde touchée par un ransomware. Coût moyen pour les entreprises : 15 221 $. (corrections, pertes …) ; En une minute, 17 applications mobiles se retrouvent sur liste noire. 21 nouveaux domaines sont créés pour du phishing et un nouveau site utilisateur (volontaire ou non) du script d’extraction de crypto-monnaie CoinHive voit le jour.

Communiqué de presse, Cybersécurité, DDoS, Mise à jour, Piratage, Securite informatique

Retour en force des attaques DDoS en Europe en 2018

2 commentaires

Les attaques par déni de service, ou DDoS, avaient marqué les esprits à la fin de l’année 2016. Perpétrées grâce au botnet « Miraï », l’un des premiers « thingbots » constitué exclusivement d’objets connectés (Internet of Thing), les deux attaques de plusieurs Tbit/s lancées contre OVH et DynDNS, avaient ébranlé le web mondial.

De l’avis des experts, ce type d’attaques était voué à se multiplier en 2017. Il n’en fut rien et les attaques tant redoutées ne se sont jamais produites. Pourtant les pirates n’ont pas mis un terme à leurs attaques volumétriques massives. Ils n’ont simplement pas exploité au maximum de leurs capacités, les impressionnantes cyberarmes à leur disposition.

F5 fait état d’une véritable explosion des attaques DDoS depuis janvier 2018 :   

  • Le thingbot « JenX » proposant ses services pour mener des attaques DDoS (DDoS-for-hire) a tout d’abord été découvert en janvier. Celui-ci permet de lancer des attaques DDoS de 300 Gbit/s pour la modique somme de 20 dollars, plaçant ainsi la neutralisation d’une cible à la portée de tous.
  • En mars, c’est un nouveau record du monde qui a été établi : le site de développement collaboratif GitHub a été ciblé par une attaque DDoS d’une puissance sans précédent, atteignant un débit de 1,35 Tbit/s. Techniquement, l’attaque a été lancée depuis des systèmes de mémoire cache (« memcached ») non sécurisés.

Le centre des opérations de sécurité (SOC) de F5 Silverline fait état d’une véritable explosion des attaques DDoS en 2018. Jusqu’à présent, le SOC F5 a écarté des attaques volumétriques de haut débit comprises entre 100 et 300 Gbit/s. Les attaques volumétriques reviennent ainsi sérieusement jouer les trouble-fête.

F5 a observé plusieurs tendances dans les attaques menées à la fin de l’année 2016 et les nombreuses attaques réapparues lors du 1er trimestre 2018.

  • Les entreprises de la zone Europe, Moyen-Orient et Asie-Pacifique sont désormais toutes autant ciblées que leurs homologues nord-américaines.
  • Les établissements financiers et les hébergeurs continuent de figurer parmi les secteurs les plus ciblés. Mais sur le 1er trimestre 2018, ce sont les sociétés de jeu en ligne qui ont été particulièrement ciblées. A eux trois, ces secteurs ont subi 76 % des attaques DDoS au 1er trimestre 2018.
  • Cependant, avec la montée en puissance de ressources à la location, bon marché, qui facilitent le ciblage de tout type d’entreprise, l’écart se rétrécit entre ces secteurs historiquement ciblés et les autres.
  • Le SOC de F5 a commencé à neutraliser des attaques DDoS ciblant directement des applications (et non le réseau) au 3ème trimestre 2016, et cela risque de devenir un vecteur d’attaque en hausse à mesure que les entreprises évoluent vers des processus de virtualisation de services orientés applications.
  • Après un hiatus en 2017, les attaques volumétriques à haut débit ont repris au premier trimestre 2018. En mars 2018, le SOC de F5 a neutralisé une attaque multi-vecteurs de 325 Gbit/s, principalement issue de systèmes basés aux États-Unis.

Vincent Lavergne, expert attaques DDoS de F5 explique : « Avec l’explosion des objets connectés, du Cloud computing et des bases de données en ligne, les pirates disposent plus que jamais de systèmes plus vulnérables leur permettant de lancer des attaques DDoS dévastatrices ».

Rappel – Quelques bonnes pratiques pour se prémunir de ce type d’attaques :

  1. Ne pas exposer l’administration à distance à l’ensemble du réseau Internet, en particulier aux appareils IoT ou aux bases de données en ligne.
  2. Protéger ses systèmes au moyen de protocoles d’accès sécurisés, d’identifiants d’administration complexes (ou de clés SSH lorsque cela est possible), et ne pas laisser se produire des attaques par force brute.
  3. Appliquer régulièrement des correctifs sur tous les systèmes en contact avec Internet, et immédiatement dès la détection d’une faille dans l’exécution de code à distance ou d’un défaut de conception susceptible de conduire à une exploitation à distance.

L’analyse approfondie menée par F5 révèle également les enseignements suivants :

  • Croissance des attaques mondiales

Le nombre d’attaques neutralisées au niveau mondial par F5 entre 2016 et 2017 a augmenté de 26 %. Sur le premier trimestre 2018 (vs le 1er trimestre 2017), F5 a analysé une augmentation plus significative, de 33% du nombre d’attaques.

Toutes les zones observées par F5 ont connu une hausse constante des attaques depuis 2016, mais le nombre d’attaques DDoS commises contre des cibles dans la région Asie-Pacifique (APAC) augmente plus rapidement que dans n’importe quelle autre région du monde.

L’Amérique du Nord, historiquement la zone la plus touchée par les attaques DDoS, est depuis 2017 passées sous la barre des 50% du total d’attaques DDoS mondiales, alors que les attaques DDoS ciblant la région EMEA ont augmenté d’environ un tiers. La région APAC a, quant à elle, fait un bond de 8 % en 2016 à 17 % en 2017. Au premier trimestre 2018, les entreprises de la région APAC ont subi presque autant d’attaques que les entreprises situées en Amérique du Nord.

  • Répartition des attaques par secteur

Les hébergeurs Web et les établissements financiers ont toujours figuré parmi les principales cibles d’attaques DDoS, une tendance qui ne s’est pas démentie en 2017.

Vincent Lavergne explique : « Dans ces deux secteurs, tout temps d’arrêt se traduit directement en pertes financières. C’est pourquoi les attaques DDoS avec chantage à la clé sont très lucratives, car le fait de payer la rançon est pour les entreprises un moyen efficace de régler le problème ».

Le fossé se rétrécit entre les principales cibles traditionnelles et d’autres secteurs ; les profils des cibles sont variés et comptent notamment les fournisseurs de technologies, les FAI, l’univers du jeu en ligne et les fournisseurs de services aux entreprises.

Vincent Lavergne ajoute : « Chaque année, nous continuons à observer un plus large éventail de cibles d’attaques DDoS, en corrélation avec la hausse des services « DDoS for hire » à des prix extrêmement abordables et la mise à disposition des outils DDoS accessibles même aux néophytes ».

  • Origine des attaques

F5 a analysé un ensemble d’attaques de très fort débit, persistantes pendant 4 jours en mars 2018 et a observé que les 10 principaux pays à l’origine du trafic ont conservé le même débit tout au long des attaques, ce qui pourrait laisser entendre que ces attaques ont été lancées par les mêmes systèmes sur toute la durée de quatre jours. Ce type de comportement d’attaque cadre avec l’utilisation d’objets connectés, dans lesquels des failles et les attaques qui en découlent ne sont pas détectées, ou, dans un scénario moins probable, avec la compromission de systèmes appartenant à des entreprises (qui ne sont pas au courant de la faille) et qui sont utilisés pour lancer des attaques.

Fait inhabituel, la plus importante source de cette campagne d’attaques est venue des États-Unis. Cela indique qu’un nombre significatif de systèmes vulnérables (appareils IoT ou systèmes « memcached » potentiellement compromis) est ciblé aux États-Unis pour lancer des attaques DDoS.

Antivirus, backdoor, Cyber-attaque, Cybersécurité, DDoS, Logiciels, Piratage, ransomware, Securite informatique

8,4 millions de malwares en 2017

Les experts G DATA ont comptabilisé le nombre de nouveaux codes malveillants sur l’année 2017. Avec l’indice des attaques bloquées ils ont également défini les dangers les plus actifs. Ils communiquent le résultat de leur recherche.

Afin d’avoir une vue d’ensemble de l’évolution quantitative des logiciels malveillants, les types de logiciels malveillants sont comptés en fonction de leur signature. Au-delà du simple comptage, seules les variantes qui partagent les mêmes morceaux de code malveillant sont prises en compte. En 2017, le nombre de nouveaux logiciels malveillants a augmenté de 22,9% par rapport à 2016 pour atteindre 8 400 058.

22 attaques par utilisateur

Le nombre de nouveaux spécimens de programmes malveillants apporte un premier niveau d’information, mais n’indique pas l’activité de ceux-ci. Un seul logiciel malveillant peut en effet avoir plus d’impact que des milliers. Pour définir cet indice de dangerosité des codes, les attaques détectées par les solutions G DATA sont remontées et comptabilisées. La moyenne des attaques sur le second semestre 2017 pour 1000 utilisateurs est de 119,4. Autrement dit, chaque jour, un utilisateur d’une solution G DATA sur huit, est confronté à une attaque bloquée. Cela représente en moyenne 22 attaques par utilisateur sur le second semestre 2017.

 

backdoor, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, IOT, Piratage, ransomware, Securite informatique

Des sites Internet piratés via l’Internet des objets

Du piratage de site web via des objets connectés. La France est le 21ème pays le plus touché avec 298 hôtes enregistrés dans les 30 derniers jours.

Même si le chiffre ne semble pas énorme, les attaques repérées montre une évolution dans ce type de cyberattaque via des objets connectés. Doctor Web alerte à nouveau sur l’activité du Trojan Linux.ProxyM infectant des terminaux intelligents fonctionnant sous Linux, tels que des caméras de vidéosurveillance et des enregistreurs DVR de vidéosurveillance.

En septembre 2017, les pirates l’ont utilisé pour envoyer du spam, et plus récemment, ils utilisent ses capacités pour pirater des sites web. Selon l’entreprise, la France serait le 21ème pays le plus touché avec 298 hôtes enregistrés au cours des 30 derniers jours.

Objets connectés

Linux.ProxyM est un logiciel malveillant qui lance sur un appareil contaminé un serveur proxy SOCKS. C’est en utilisant ce proxy que les criminels peuvent agir de manière anonyme. Il existe des builds de ce Trojan pour les architectures x86, MIPS, MIPSEL, PowerPC, Superh, ARM, Motorola 68000 et SPARC. En d’autres termes, Linux.ProxyM peut contaminer n’importe quel appareil sous Linux, y compris les routeurs, boîtiers décodeurs, des caméras de surveillance, des enregistreurs DVR, et autres équipements.

Au mois de septembre, les analystes ont découvert que les malfaiteurs envoyaient plus de 400 messages spam par jour depuis chaque dispositif contaminé en utilisant Linux.ProxyM. Leurs messages contenaient des publicités pour des sites pour adultes et des services financiers douteux. Par la suite, les cybercriminels ont commencé à utiliser l’Internet des objets pour la propagation de messages de phishing. Ces messages étaient envoyés au nom de DocuSign, le service permettant de télécharger, consulter, signer et suivre le statut des documents électroniques.

Base de données, Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, loi, Mise à jour, Patch, Piratage, Propriété Industrielle, ransomware, Securite informatique

La cyber-criminalité coûte de plus en plus d’argent aux entreprises

La cyber-criminalité coûte en moyenne 11,7 millions de dollars par an à chaque entreprise américaine, soit une hausse de 62 % en cinq ans, d’après une étude menée par Accenture et Ponemon Institute. Les infections par malware sont les cyber-attaques les plus coûteuses, avec 2,4 millions de dollars par incident en moyenne.

Partout dans le monde, des cyber-attaques sont commises avec un impact financier de plus en plus lourd pour les entreprises. Selon une nouvelle étude publiée par Accenture à l’occasion de l’ouverture des Assises de la sécurité, le coût moyen de la cyber-criminalité a atteint, à l’échelle mondiale, 11,7 millions de dollars par entreprise en 2017, soit une augmentation de 23 % par rapport à 2016 (9,5 millions de dollars) et de 62 % ces cinq dernières années. C’est aux États-Unis que le coût moyen est le plus élevé (21,22 millions de dollars par acte criminel), tandis que l’Allemagne enregistre la plus forte hausse du coût total de la cyber-criminalité (de 7,84 à 11,15 millions de dollars). Cette forte dégradation fait suite aux récentes attaques de grande ampleur telles que WannaCry et Petya, dont les préjudices causés à un certain nombre de grandes entreprises mondiales se chiffrent en centaines de millions de dollars.

Cette étude du coût de la cyber-criminalité (Cost of Cyber Crime Study) a été menée auprès de 2 182 spécialistes de la sécurité IT, issus de 254 organisations à travers le monde. Elle révèle que le nombre de cyber-attaques est en constante augmentation depuis que le Ponemon Institute a débuté ses recherches en 2009. Le rapport fait état d’un certain nombre d’enseignements :

En moyenne, une entreprise subit 130 violations de sécurité par an, soit une hausse de 27,4 % par rapport à 2016, et un quasi-doublement en l’espace de cinq ans. Une violation de sécurité (« breach ») est définie comme une infiltration au sein d’un réseau central ou d’un système d’entreprise.
Les secteurs les plus touchés sont les services financiers et l’énergie, avec respectivement un coût annuel moyen par entreprise de 18,28 et 17,20 millions de dollars.
On note également une augmentation de la durée nécessaire pour corriger les problèmes. Parmi les incidents les plus longs à traiter se trouvent ceux qui viennent de l’intérieur, avec une moyenne de 50 jours, contre un peu plus de 23 jours pour les attaques par ransomware.
Les attaques par malware et celles provenant du Web sont les plus coûteuses, nécessitant une dépense moyenne respective de 2,4 et 2 millions de dollars par entreprise.

« Les conséquences coûteuses et dévastatrices de la cyber-criminalité pour les entreprises soulignent l’importance croissante de la planification stratégique et d’un suivi rigoureux des investissements en matière de sécurité. L’étude donne une moyenne du coût de la cybercriminalité mais pour certaines entreprises les pertes peuvent être bien plus importantes », explique Eric Boulay, Directeur d’Accenture Security en France et au Benelux. « Pour continuer à résister à des attaques de plus en plus sophistiquées et extrêmement motivées, les entreprises doivent adopter une stratégie de sécurité dynamique et agile, permettant de construire la résilience de l’intérieur vers l’extérieur (au lieu de se focaliser exclusivement sur le périmètre pris en charge), avec une approche spécifique à l’activité pour protéger l’ensemble de la chaîne de valeur. »

Améliorer la répartition des dépenses en matière de technologies de sécurité

Sur les neuf technologies de sécurité évaluées, celle qui fait l’objet des dépenses les plus importantes est le contrôle de périmètre avancé. Or on constate que les entreprises qui ont déployé ces solutions de sécurité ont réalisé des économies opérationnelles (liées à l’identification et à la remédiation des cyber-attaques) qui s’élèvent à seulement un million de dollars, ce qui suggère un possible manque d’efficacité dans l’allocation des ressources. Parmi les catégories de dépenses les plus efficaces pour minimiser les pertes causées par les actes de cyber-criminalité se trouvent les systèmes de renseignement (security intelligence), définis comme des outils permettant d’ingérer des informations issues de multiples sources dans le but d’identifier et prioriser les menaces internes ou externes. Ces systèmes permettent de réaliser des économies substantielles (2,8 millions de dollars en moyenne), soit plus que tous les autres types de technologies couverts par l’étude. Les technologies d’automatisation, d’orchestration et d’apprentissage machine ont été déployées dans seulement 28 % des entreprises, (soit le pourcentage le plus faible parmi les technologies considérées), alors qu’elles arrivent en troisième position en termes d’économies opérationnelles liées aux technologies de sécurité, avec un total de 2,2 millions de dollars.

Les conséquences financières des cyber-attaques sont de plus en plus lourdes

Les chercheurs ont exploré quatre impacts principaux sur les organisations victimes d’une cyber-attaque : perturbation de l’activité, perte d’informations, perte de revenus et dommages matériels. Le type de dommages le plus préjudiciables est aujourd’hui la perte d’information, mentionnée par 43 % des personnes interrogées. Le coût de la perturbation de l’activité (défaillance des processus suite à une attaque, par exemple) est en revanche passé de 39 % en 2015 à 33 % cette année.

« Le cœur d’un programme de sécurité solide et efficace consiste à identifier et à « renforcer » les actifs les plus précieux de l’entreprise », explique le Dr Larry Ponemon, Président fondateur du Ponemon Institute. « Bien que des progrès réguliers aient été réalisés dans le domaine de la cyber-défense, les entreprises pourraient bénéficier d’une meilleure compréhension des coûts de la cyber-criminalité ; cela les aiderait à combler l’écart entre leurs vulnérabilités et l’inventivité sans fin (et le nombre croissant) des cyber-criminels. »

Le coût moyen par entreprise varie considérablement selon le pays et le type d’attaque
L’Australie affiche le coût moyen par cyber-attaque le plus faible (5,41 millions de dollars), tandis que le Royaume-Uni enregistre la plus faible évolution par rapport à l’an dernier (de 7,21 à 8,74 millions de dollars). Le Japon enregistre une augmentation des coûts de 22 % (10,45 millions de dollars), soit la troisième plus forte augmentation des pays couverts par l’étude.

Les coûts varient considérablement selon le type d’attaque. Les entreprises américaines sont celles qui consacrent le plus de dépenses de remédiation, tous types de cyber-attaque confondus, en particulier dans les domaines des attaques par malware et des attaques provenant du Web (3,82 et 3,40 millions de dollars par incident, respectivement). En Allemagne et en Australie, 23 % du coût total annuel lié à la cyber-criminalité est imputable à des attaques par malware. En France, 20 % du coût total annuel lié à la cyber-criminalité est imputable aux attaques provenant du Web. Les attaques par déni de service représentent 15 % du coût annuel total en Allemagne et au Royaume-Uni.

Recommandations pour renforcer l’efficacité des efforts de cyber-sécurité

En prenant les trois mesures suivantes, les entreprises peuvent renforcer l’efficacité de leur cyber-sécurité, en prévenant les actes cybercriminels et en minimisant leur impact :

Construire la cyber-sécurité sur des fondations solides – Les entreprises gagneraient à investir dans des éléments de base performants, notamment dans les domaines du renseignement en matière de sécurité et de la gestion avancée des accès, tout en reconnaissant la nécessité d’innover pour rester en avance sur les hackers.
Effectuer des tests de résistance extrêmes – Les entreprises ne doivent pas uniquement chercher à répondre aux impératifs de conformité pour améliorer leur profil sécuritaire : elles doivent également procéder à des tests de résilience extrêmement exigeants afin d’identifier leurs vulnérabilités de manière encore plus rigoureuse que les hackers les plus motivés.
Investir dans des innovations de rupture – Les entreprises doivent consacrer une partie de leur budget aux nouvelles technologies, en particulier aux solutions analytiques et à l’intelligence artificielle, pour améliorer l’efficacité et l’étendue de votre programme.

Méthodologie

L’étude, menée par le Ponemon Institute pour le compte d’Accenture, analyse un certain nombre de coûts associés aux cyber-attaques, dans des domaines tels que l’infrastructure IT, l’espionnage économique, la perturbation de l’activité, l’exfiltration de propriété intellectuelle ou encore la perte de revenus. Les données ont été collectées à partir de 2 182 entretiens conduits sur une période de dix mois, dont les participants étaient issus de 254 organisations dans sept pays (Etats-Unis, Royaume-Uni, Australie, Allemagne, Japon, France et Italie). L’étude permet d’établir le coût de tous les actes de cyber-criminalité subis sur une période d’un an. Cela inclut les coûts liés à la détection, à la récupération, aux investigations et aux réponses apportées aux incidents. Les coûts résultant des activités post-incident, visant à limiter des dépenses supplémentaires liées à la perturbation de l’activité et à la perte de clientèle, sont également pris en compte.

Cyber-attaque, Cybersécurité, DDoS, Mise à jour, Piratage, Securite informatique

La taille des attaques DDoS a doublé, presque triplé

Attaques DDoS ! 31% des attaques au premier semestre 2016 atteignaient ou dépassaient 50Gbps, une mesure atteignant même dans certains cas 58,8 Gpbs. La plus forte du premier semestre 2015 était de 21 Gbps.

CDNetworks, fournisseur international de CDN et de Cloud Security, a dernièrement présenté ses observations liées aux attaques DDoS constatées sur ses serveurs et les résultats d’une étude réalisée auprès de 300 entreprises dans plusieurs pays européens. Pour l’entreprise, selon ses propres données, la grande tendance est à l’augmentation de la taille des attaques. CDNetworks rappelle qu’en 2014, les attaques DDoS ont augmenté en nombre.

Une hausse de 29%, en partie due à un ciblage du marché des jeux en ligne. En 2015, ces attaques ont été 200% plus nombreuses. Le secteur public et les services financiers rejoignant les jeux en ligne parmi les cibles privilégiées. En 2016, c’est la taille des attaques DDoS qui a explosé. L’attaque la plus importante du 1er semestre 2015 était de 21 Gigabits par seconde (Gbps).

Au 1er semestre 2016, une attaque atteignait 58,8 Gbps. Presque trois fois plus forte. De plus, sur ce 1er semestre 2016, 31% des attaques DDoS mesuraient 50 Gbps ou plus. Des tailles jamais atteintes un an plus tôt. Fin 2016, CDNetworks a vu une attaque DDoS géante dépasser 1 Térabit par seconde !

Montée en puissance des attaques DDoS

Face à cette montée en puissance des attaques DDoS, CDNetworks a voulu savoir comment les entreprises de plusieurs pays européens se préparaient en amont, à ce risque d’attaque, et a interrogé 300 entreprises.

Le constat est que les organisations se préparent. Le budget annuel moyen alloué à l’atténuation des attaques DDoS dépasse 27 000 euros. Près de la moitié (47%) des entreprises interrogées dépensant entre 17 000 et 45 000 euros et 20% d’entre elles allouant un budget supérieur. 29% allouent un budget variant entre 5600 et 17 000 euros. Seules 4% dépensent moins de 5600 euros par an.

9% des entreprises interrogées pensent investir pour la première fois dans les 12 prochains mois dans ce genre de protection. 64% pensent augmenter leurs dépenses dans de nouvelles technologies d’atténuation d’attaque DDoS. 25% y alloueront le même budget.

Cyberattaque d’octobre 2016

La grosse cyberattaque d’octobre 2016 contre Dyn impactant Twitter ou CNN a éveillé les consciences. 79% des personnes interrogées pensent pouvoir être la cible d’une attaque de manière probable ou presque certaine dans les 12 prochains mois. Les prévisions de budgets se répartissent entre l’atténuation managée d’attaques DDoS, la prévention DDoS couplée à un Web Application Firewall (WAF), les technologies libre-service d’atténuation, les audits de sécurité et la protection manuelle, cette dernière étant le premier choix pour les entreprises qui vont s’y mettre pour la première fois, ainsi que pour les sociétés ayant investi pour la première fois un an auparavant, associé à la réalisation d’un audit, ou encore pour les sociétés ayant investi il y a plus de 5 ans.

Face à ces investissements pour se protéger, 51% des sociétés estiment que leurs efforts sont suffisants, 44% pensent qu’elles ont sous-évalué le risque et voudraient pouvoir investir davantage dans la protection DDoS avec un WAF (48%), l’atténuation managée des attaques DDoS (43%), les technologies en libre-service (40%), la protection de plus de domaines (34%), la protection manuelle (30%)… La protection DDoS avec un WAF recueille les suffrages des dirigeants de l’entreprise et des administrateurs IT, les premiers voyant également d’un bon œil les technologies en libre-service, les seconds le passage du libre-service à un service managé. Quant aux Directeurs et Chefs de départements, la moitié d’entre eux aimerait investir davantage dans l’atténuation managée des attaques DDoS.

14% de sociétés n’ont pas subi d’attaque DDoS

Parmi les 300 sociétés constituant le panel interrogé, seules 14% n’ont pas subi d’attaque DDoS durant les 12 derniers mois. En moyenne, les autres ont recensé 6 attaques sur l’année. 8% ont subi plus de 50 attaques en un an. Toutes ces attaques n’ont pas forcément abouti, 64% des entreprises interrogées auraient subi au moins une attaque DDoS en partie réussie ces 12 derniers mois, trois par an en moyenne par entreprise.

Base de données, Communiqué de presse, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Piratage, Securite informatique

Les pays et villes qui abritent des repères de bots

La France repère de bots ? L’hexagone est le 8e pays au monde où le volume d’attaques contre les objets connectés est le plus élevé. 6,7 millions de bots en plus et à travers le monde sur l’année 2016 ont été recensés.

Les repères de bots dans le monde ! Un an après la première attaque majeure du botnet Mirai, qui a paralysé et mis à l’arrêt une grande partie de l’internet, Norton by Symantec révèle les villes et pays (lien) qui ont involontairement accueilli un grand nombre d’infections de bots et fait le point sur leur évolution afin de mieux comprendre ce phénomène. 6,7 millions de bots supplémentaires ont rejoint le nid en 2016 au niveau mondial ; l’Europe représente plus d’un cinquième (18,7 %) de la population totale bots dans le monde.

Selon l’étude, la France est désormais le 16e pays le plus important en volume de bots en Europe et se classe au 8e rang mondial des pays ayant connu le plus d’attaques contre les objets connectés ; La ville de Paris est la première ville de France en volume de bots avec 28,18 % du nombre total de bots en France, suivie de Roubaix (8,31 %), Aubervilliers (3,40 %) et Marseille (3,33 %) ; Le Vatican, le plus petit pays au monde, possède la plus haute densité de bots en comparant le nombre d’infections par utilisateur d’internet. 5 personnes par bot.

Pour Roubaix, dans le Nord de la France, cela s’explique rapidement. OVH s’y trouve. Il est le plus important hébergeur d’Europe. Et ils sont aussi d’une efficacité loin d’être négligeable dés qu’il s’agit d’alerter et de prendre des mesures face aux sites infiltrés et exploités dans des attaques. Data Security Breach peut en témoigner avec une alerte, il y a 15 jours et une équipe OVH efficace pour informer, contrôler et bloquer si besoin. Pour le Vatican, un chiffre à prendre avec des pincettes, et pour cause, la population est de 451 personnes !

Contrôlées à distance par des cybercriminels et faisant partie d’un réseau global de bots, ces « machines zombies » sont utilisées pour réaliser des attaques par déni de services (ou DDoS – des attaques qui ont pour objectif de rendre indisponible un site Internet), envoyer du spam, perpétrer des fraudes au clic ainsi que de nombreux actes de cybercrime, à l’insu du propriétaire du terminal infecté. Ces botnets, disponibles à la location sur des forums spécialisés et sur le darknet, peuvent coordonner des millions de terminaux connectés pour des attaques massives et coordonnées. « L’an passé, 13,7 millions de Français ont été victimes d’actes de cybercriminalité, les bots et repères de bots étant un outil clé dans l’arsenal du cyber attaquant, », explique Laurent Heslault, expert en cyber sécurité chez Norton by Symantec. « Tout périphérique connecté à Internet peut être exposé à une infection de bots et donc vulnérable. Ce ne sont pas seulement les ordinateurs qui fournissent aux cybercriminels une armée de robots. En 2016, nous avons remarqué que les cybercriminels utilisaient de plus en plus les smartphones et les objets connectés pour renforcer leurs rangs de bots. Les serveurs offrent également une capacité de bande passante beaucoup plus grande pour une attaque DDoS que les PC grand public traditionnels. »

Selon les experts, l’émergence des appareils connectés pourraient expliquer la hausse des infections de bots en 2016 à travers le monde. Au cours de son apogée l’année dernière, lorsque le repère de bots Mirai se développait rapidement, composé de près d’un demi-million d’appareils connectés tels que les caméras IP et les routeurs à domicile, des attaques contre les objets connectés avaient lieu toutes les deux minutes. À l’insu des propriétaires d’appareils, près d’un tiers (31 %) des attaques proviennent de dispositifs en Europe seulement. La France se classe au 8e rang des pays concernés par l’émission d’attaques contre les objets connectés. Cependant, le lieu de résidence d’un bot n’est pas obligatoirement le lieu de sa création. Par exemple, un dispositif infecté en Europe pourrait contribuer à une attaque en Asie tout en étant contrôlé par un cybercriminel situé aux États-Unis.

Les pays de l’Est, repères de bots ?

La Russie a accueilli le plus grand nombre de bots dans toute l’Europe avec 13,6 % des dispositifs infectés par le virus en Europe qui y résident. Cependant, avec la plus grande population connectée à internet en Europe, la « densité de bots » de la Russie est relativement faible. La « densité de bots » ou les « bots par personne connectée » est une comparaison entre le nombre d’internautes d’un pays et le volume des infections par bots. Il vise à préciser quels pays ont un taux d’infection plus élevé. Avec un bot pour tous les 41 internautes, la Russie se classe au 31e rang en Europe et 94e au monde pour la densité de bots.

Ce taux d’infection relativement faible peut être influencé dans une certaine mesure par les codes de conduite de la communauté de piratage de la Russie. « Les Russes infectant les Russes sont considérés comme un faux pas en cyber criminalité, » commente Candid Wueest. « Il y a eu des cas dans le passé où les cyber-attaquants étaient « doxxed » ou livrés à la police par la communauté de cyber-attaquants pour avoir infecté des terminaux locaux. »

Le Saint-Siège de Rome, le pays le plus petit au monde, a la plus forte densité de bots, non seulement en Europe, mais également dans le monde entier. Le nombre de résidents étant significativement bas, cela signifie qu’une personne connectée au Vatican a une chance sur cinq d’utiliser un dispositif « zombie » permettant aux cybercriminels de lancer des attaques, propager des spams, le tout, à son insu.

Les villes de Madrid, Istanbul et Moscou seraient des repères de bots dans leurs villes que la grande majorité des nations ont dans leur pays. Madrid, avec 4,64 % de la population européenne de bots, Istanbul, avec 4,62 %, et Moscou avec 4,59 % ont eu plus de bots que les Pays-Bas, le 8e pays infecté par le virus en Europe.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, IOT, Leak, Mise à jour, Patch, Piratage, Securite informatique

Devil’s Ivy : une vulnérabilité aux dizaines de millions d’objets connectés

Devil’s Ivy, un bug récemment découvert affecte des dizaines de millions de périphériques connectés de part le monde.

La problématique du piratage informatique, de la mise à jour des objets connectés ne fait que commencer. Suite à la découverte par la Senrio Labs d’une vulnérabilité qui concernerait potentiellement une dizaine de millions d’objets connectés, la question se pose encore aujourd’hui. Que va-t-il se poser le jour [demain, NDR] ou les objets connectés se compteront par milliard ? Le bug a été découvert dans le code gSOAP  (Simple Object Access Protocol). Pour faire simple, une gSOAP est une série d’outils qui permettent aux objets connectés de parler et de se faire comprendre sur Internet.

Genivia, la société qui gère gSOAP, annonce avoir plus d’un million de téléchargements, et possède comme client IBM, Microsoft, Adobe ou encore Xerox. « Il est probable que des dizaines de millions de produits – produits logiciels et périphériques connectés – sont affectés par Devil’s Ivy dans une certaine mesure », déclarent les chercheurs de chez Senrio « Nous avons nommé la vulnérabilité Devil’s Ivy car, comme la plante, il est presque impossible de la tuer et elle se propager rapidement grâce à la réutilisation du code« .

Si l’impact de la vulnérabilité Devil’s Ivy est relatif, elle ne permettrait « que » de voir le flux vidéo ou d’interdire l’accès au flux vidéo des caméras concernées, celle-ci montre néanmoins l’importance du risque qui peut en découler et l’intérêt pour les pirates d’identifier des vulnérabilités similaires. « Du fait de l’industrialisation de ces objets et de leur sécurité, une fois une vulnérabilité identifiée, un groupe de malveillants peut très rapidement l’utiliser à des fins d’espionnage, de destruction » souligne Vincent Lavergne, Expert chez F5 Networks. L’internet des objets (IoT) offre un effet de levier sans précédent pour constituer très rapidement un nid conséquent de BotNets, comme ce fût le cas avec Miraï. Miraï ne comportait qu’une centaine de milliers de caméras de vidéo surveillance dans son portefeuille pirate.

Devil’s Ivy

« Dans le cas de cette vulnérabilité, les objets concernés étant déjà déployés, il va être difficile de mettre en place une action corrective à grande échelle pour combler la vulnérabilité. Et c’est l’un des principaux défis de l’IoT : comment gérer la réponse aux incidents pour ce type d’équipement ?  L’internet des objets introduit en effet de nouvelles problématiques pour la sécurité et beaucoup d’entre elles mériteraient des analyses approfondies ou une collaboration entre industriels afin de définir une approche optimale à long terme. La conception et l’implémentation de systèmes IoT vont venir empiler des protocoles, des couches techniques complexes et des programmes qui souffrent parfois de failles de sécurité. On met ainsi le doigt sur le manque de maturité des standards autour de l’internet des objets et d’un cadre de meilleures pratiques à respecter par les développeurs. Chacun se positionne en effet avec ses interfaces, ses plateformes, ses protocoles et – inévitablement – ses vulnérabilités. » termine Vincent Lavergne.

Un exploit utilisant l’idée du Devil’s Ivy entraînerait une exécution de code à distance – dans le boîtier de la caméra – et donc d’accéder à un flux vidéo, ou de couper ce dernier. Étant donné que des caméras de vidéo surveillance sont destinées à sécuriser quelque chose, le danger est réel. Le constructeur de caméra Axis a déclaré que ce problème était présent dans 249 de ses modèles, à l’exception de trois anciens models.

Cyber-attaque, Cybersécurité, DDoS, Mise à jour, Piratage, Securite informatique

Final Fantasy 14 subit une série d’attaques DDoS

La seconde extension de Final Fantasy 14, Stormblood, était attendue par tous les « afficionados » du célèbre jeu sur Playstation 4, Mac et PC. Un lancement qui a été perturbé par une série d’attaques par déni de service.

Le 20 juin 2017 sortait la seconde extension de Final Fantasy 14, Stormblood. Des pirates ont tenté de perturber ce lancement par un déni distribué de service (DDoS). « Aujourd’hui, les botnets comme celui qui a affecté les serveurs du jeu Final Fantasy 14 n’ont pas de limites. Chaque imprimante, console de jeux ainsi que n’importe quel appareil connecté à internet peut être utilisé par un botnet pour lancer une attaque par déni de service (DDoS). confirme Jean- Baptiste Souvestre, Software Engineer, chez Avast. Jusqu’à présent, les cybercriminels ont seulement pu exploiter cette méthode pour paralyser ou prendre le contrôle de sites internet, des actions ennuyeuses mais sans mise en danger vital. En ce qui concerne les conséquences sur Final Fantasy, les attaques DDoS en particulier n’entrainent pas de perte de données relatives aux personnages ou bien au profil de l’utilisateur mais elles peuvent nuire à la performance et à l’expérience de jeu ».

En réalité, le pouvoir de ce type de piratage ne cessera d’augmenter. A l’avenir, nous pourrions voir de nombreuses attaques entièrement autonomes et basées sur l’intelligence artificielle qui opèreront de façon indépendante, sauront s’adapter pour échapper aux outils de détection, et prendront les décisions seules, exposant ainsi les services digitaux et les infrastructures web à des risques encore plus importants.

C’est pourquoi nous devons tous nous montrer responsables en prenant des mesures proactives pour protéger nos systèmes et équipements, quelle que soit l’activité à partir du moment où nous sommes connectés à internet. Cela passe notamment par l’utilisation de mots de passe forts et uniques, mais également par l’installation de solutions de sécurité afin de prévenir toute attaque. En outre, la mise en place d’un anti-malware fait partie des bonnes pratiques à adopter, à la fois par les particuliers et les entreprises. Enfin, dès lors qu’un utilisateur soupçonne qu’une attaque est en cours au cœur de ses appareils, il doit contacter son fournisseur d’accès à internet afin que ce dernier puisse analyser immédiatement si tout est normal sur le réseau ou bien si un hacker est parvenu à s’infiltrer. Si tel est le cas, les mesures nécessaires pourront être appliquées pour l’arrêter avant qu’il ne parvienne à ses fins.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, ransomware, Securite informatique

Cybersécurité : le tout-connecté fait entrer le secteur aérien en zone de turbulences

Comme n’importe quel autre secteur d’activité, l’écosystème du transport aérien est résolument engagée sur la piste du numérique. En devenant hyperconnectée, l’aviation moderne se donne les moyens de répondre à ses impératifs de développement. Mais elle se met aussi en danger face à de nouveaux risques de piratage. Le point de vue sur cette question de Tanguy de Coatpont, directeur général de Kaspersky Lab France.

Piratage informatique et l’aéronautique, un futur planant ? Le nombre a de quoi donner le tournis. En 2035, nous verrons passer au-dessus de nos têtes en Europe quelque 14,4 millions d’avions, contre 9,5 millions en 2012. Le secteur aérien doit ainsi faire face à un enjeu de taille : assurer sans faille son activité en croissance permanente.

A l’instar du domaine de l’énergie, c’est bien avec les solutions numériques à leur disposition que tous les acteurs du transport aérien pourront relever le défi qui leur incombe. Où l’ère de l’analogique, des communications VHF avec le sol, des commandes mécaniques des avions, est vouée à s’effacer au profit de la connectivité des outils numériques. Où ordinateurs, tablettes et traitements de données en temps réel ouvrent aussi la voie à une nouvelle façon de gérer au mieux le trafic aérien.

À l’échelle européenne, la transformation est lancée via le déploiement du programme SESAR. Du sol aux avions, ce système moderne repose, tout logiquement, sur l’utilisation d’outils numériques. Pour une gestion des vols harmonisée d’un pays à l’autre, et d’un avion communiquant à l’autre. Pour un trafic aérien toujours plus fiable, plus écologique et économique.

Le numérique dans l’aérien : l’aubaine et la menace

À l’échelle locale, les aéroports ne sont pas en reste. Un exemple : Londres-Gatwick en Angleterre détecte déjà, compile et analyse les données numériques issues de l’activité de toutes ses infrastructures. Et ce afin de faciliter la circulation des passagers et des avions, éviter les attentes et optimiser l’utilisation de l’unique piste du site.

A bord, le digital a également pris ses aises, depuis les systèmes de contrôle gérés par ordinateur pour des avions pensés par et pour le numérique, jusqu’aux centrales multimédia de divertissement des passagers, en passant par les nouveaux dispositifs de communication air-sol et l’optimisation du plan de vol en temps réel.

L’interconnexion des différents éléments de communication, du sol vers l’avion et vice-versa, a vocation à rendre le trafic aérien plus fluide et plus sûre. Et il le sera certainement ! Mais l’outil numérique, qui permet cette connectivité permanente, gage d’efficacité et de rapidité, est à la fois l’aubaine et la menace.

Pour les avions en particulier, on le reconnaît vraiment depuis 2015 : c’est exact, un avion peut être piraté ! Un tabou définitivement brisé par l’Agence européenne de la sécurité aérienne (AESA).

L’institution s’est appuyé pour ça sur les démonstrations de l’expert Hugo Teso. Ce chercheur espagnol a réussi à prendre la main sur le système ACARS d’un avion, système de messagerie qui permet de communiquer avec le sol. Le « bon » pirate, lui-même détenteur d’une licence de pilote, est aussi parvenu en quelques jours à pénétrer dans le système de contrôle d’un avion au sol. Dans sa trousse à outils : un smartphone et une application développée par ses soins.

Des pirates déjà actifs dans les aéroports

D’autres expérimentations d’intrusion ont eu lieu aussi outre-Atlantique, en vol notamment, via les boîtiers de gestion des services multimédia installés sous les sièges des passagers.

Au sol, on n’en est plus à la démonstration. Les pirates sont déjà entrés en action. L’un des cas les plus retentissants est cette intrusion réussie, en juin 2015, dans le système de gestion des vols de la LOT, compagnie aérienne polonaise. Résultat : 1400 passagers et 10 avions immobilisés sur le tarmac pendant plus de 5 heures.

Plus récemment, en septembre 2016, un groupe de pirates s’est attaqué à l’aéroport de Vienne. Ils ont échoué. Mais l’intention de nuire était bien là.

Ces deux attaques ne sont que quelques-uns des cas révélés au grand jour ! Car, à l’AESA, on ne s’en cache pas. Selon Luc Tytgat, son directeur de la gestion de la stratégie et de la sécurité, les systèmes de gestion du trafic aérien sont la cible de 1000 attaques par mois en moyenne.

Face à ce danger bien réel, les acteurs du secteur se mobilisent sur les moyens de prévention et de défense à appliquer. L’association internationale du transport aérien (IATA) par exemple propose depuis 2015 à ses membres, plus de 215 compagnies aériennes adhérentes, un kit des bons usages contre d’éventuelles cyberattaques.

L’instauration de standards de cybersécurité dans le secteur aérien

L’AESA de son côté a créé en février dernier le Centre européen pour la cybersécurité dans l’aviation (ECCSA). L’organisme est ouvert à tous les acteurs concernés, y compris les concurrents. Son but est de rassembler les idées et les efforts de chacun, selon le principe bien connu de « L’union fait la force« .

C’est aussi ce principe qui motive l’organisation de l’aviation civile internationale (OACI). Cet organe des Nations unies a voté une première résolution en faveur de la cybersecurité aérienne en octobre 2016. Et elle en fait un sujet majeur dans son nouveau plan triennal 2017-2019 pour l’instauration notamment de standards de sécurité.

Cette mobilisation générale dans le secteur aérien traduit bien à la fois la prise de conscience du risque permanent de la cyberattaque et l’impérieuse nécessité, malgré tout, de suivre le rythme effréné de la mutation numérique d’un monde devenu interconnecté. Le cas de London City Airport est la parfaite illustration de cette dichotomie technologique.

Sa tour de contrôle sera virtuelle à l’horizon 2019. Les contrôleurs, déplacés à 130 kilomètres de l’aéroport, gèreront le trafic des pistes grâce à un réseau de caméras HD réparties sur l’ensemble du terrain d’aviation.

Pour couper court à toute inquiétude, Declan Collier, le directeur de l’aéroport, l’assure : « Nous utilisons le plus haut niveau de sécurité pour protéger notre système« . Oui, sans doute. A condition de ne pas oublier ce principe : ce qui vaut en cybersécurité aujourd’hui, ne vaut plus forcément demain. Dans l’aérien, comme ailleurs, la guerre contre ces cybercriminels est un combat sans fin, collectif.

Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Mise à jour, Paiement en ligne, Patch, Piratage

SIG : Attaque contre la billetterie d’un club de basket Français

2 commentaires

Un pirate informatique s’est attaqué à la billetterie web du club de basket SIG de Strasbourg. Bilan, plus possible d’acquérir sa place pour la finale Pro A.

Quelles étaient les motivations du pirate informatique ayant visé la billetterie du basket club de Strasbourg, le SIG ? Mettre la main sur les données des supporters ? Ou tout simplement perturber le fonctionnement de la billetterie du club pour empêcher les fans du SIG de venir supporter leur club ? Toujours est-il que, comme l’explique La Dernière Nouvelles d’Alsace, l’ouverture de la billetterie pour le match 3 de la finale de Pro A contre Chalon s’est retrouvée retardée par ce qui semble être une attaque DDoS, ou une injection SQL trop violente. Bilan, le système c’est mis en panne et a généré un message qui a empêchait les fans d’acheter leurs places : « Erreur de communication avec le serveur d’authentification ».

Afin de refuser tout comportement frauduleux la vente a été suspendue. Cette cyber-attaque n’a eu et n’aura aucune incidence sur la sécurité de vos paiements confirme le SIG Strasbourg.

Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Piratage, RGPD, Sauvegarde

RADWARE’S HACKERS CHALLENGE 2017

RADWARE’S HACKERS CHALLENGE 2017 : Radware’s et CISCO organisent un ethical hacking challenge. A gagner, entre autres, un voyage tout frais payé à au Black Hat Europe 2017.

Vouloir découvrir la sécurité informatique par le biais d’un concours, voilà une idée qui fait son chemin. Vous avez envie de vous tester à la sécurité informatique, vous avez envie d’accrocher à votre CV un concours d’ethical hacking ? Le RADWARE’S HACKERS CHALLENGE 2017, organisé par Radware’s et CiSCO, est fait pour vous. Il se déroulera le mardi 20 juin 2017 au Karé à Boulogne-Billancourt. Inscription et participation gratuite. Il est même possible de venir en simple spectacteur. ZATAZ.COM propose de découvrir les règles du jeu et le scénario.

Cyber-attaque, Cybersécurité, DDoS, Espionnae, ID, Identité numérique, IOT, Particuliers, Piratage

Hajime, un nouveau malware IoT aux 300 000 objets sous ses ordres

Hajime – un mystérieux malware IoT (Internet of Things) évolutif qui construit un botnet peer-to-peer géant. Récemment, le botnet s’est largement étendu, infectant des milliers d’appareils partout dans le monde. À date, le réseau compte près de 300 000 machines compromises et prêtes à travailler ensemble pour obéir aux consignes de leur donneur d’ordres. En attendant, la raison d’être de Hajime reste inconnue.

Hajime, qui veut dire « départ » ou « origine » en japonais, a montré ses premiers signes d’activité en octobre 2016. Depuis, il a évolué pour développer de nouvelles techniques de propagation. Le malware construit un gigantesque botnet peer-to-peer – un groupe décentralisé de machines compromises qui réalisent discrètement des attaques DDoS ou des campagnes de spam.

Cependant, Hajime n’est pas composé de code ou de fonctionnalités d’attaque – il contient uniquement un module de propagation. Hajime, une famille avancée et furtive, utilise différentes techniques – principalement des attaques par brute-force sur les mots de passe – pour infecter les machines. Ensuite, le malware prend des mesures variées pour se cacher des victimes. Et voici comment un appareil devient membre du botnet.

Hajime cible tous les types d’appareils. Cependant, les auteurs de ce malware se concentrent particulièrement sur les magnétoscopes numériques, suivis par les webcams et les routeurs.

Selon les chercheurs de Kaspersky Lab, Hajime évite plusieurs réseaux, y compris ceux de General Electric, Hewlett-Packard, des services postaux américains (US Postal Service), du Département de la Défense des États-Unis et un certain nombre de réseaux privés.

L’infection venait principalement du Vietnam (plus de 20%), puis Taiwan (près de 13%), le Brésil (approximativement 9%), au moment où la recherche de Kaspersky Lab a été effectuée.

La plupart des appareils compromis sont situés en Iran, au Vietnam et au Brésil.

Globalement, pendant la durée de ses recherches pas moins de 297 499 appareils uniques partageant la configuration de Hajime « Hajime intrigue particulièrement par sa raison d’être. Alors que son réseau d’objets compromise continue de grandir, son but reste inconnu. Nous n’avons trouvé de traces de sa présence dans aucune attaque ou autre activité malicieuse.. Cependant, nous conseillons aux propriétaires d’objets connectés de changer le mot de passe de leurs appareils au profit d’un mot de passe capable de supporter une attaque par brute-force, et de mettre à jour leur firmware lorsque c’est possible » précise Konstantin Zykov, Senior Security Researcher chez Kaspersky Lab.

backdoor, BYOD, Cyber-attaque, Cybersécurité, DDoS, Entreprise, IOT, Mise à jour, Patch, Piratage

DDoS : Le meilleur ami de Mirai est Vietnamien

L’équipe d’intervention d’urgence de Radware, spécialiste de la disponibilité applicative et de la sécurisation des centres de données, vient de dévoiler un nouveau rapport sur la propagation d’attaques DDoS via des équipements connectés insuffisamment protégés.

Si les vecteurs d’attaque DDoS sont nombreux, la méthode la plus utilisée est la suivante : les attaquants scannent Internet à la recherche d’équipements vulnérables à des attaques par injection de commande spécifiques.

Les commandes utilisées dans ces attaques IoT donnent l’instruction à l’équipement ciblé de télécharger le malware sur une serveur distant pour ensuite l’exécuter.

Une fois le malware exécuté, l’équipement est embrigadé dans un botnet et utilisé pour perpétrer des attaques DDoS.

Dans ce contexte, les mots de passe par défaut sont une bénédiction pour les cybercriminels : admin/admlin ; 0000 ; …

DDoS : Good morning vietnam !

Radware a mis en place un « pot de miel » surveillant l’activité sur le port 23, Telnet. Ce dernier a enregistré 300 tentatives de connexion par jour effectuées par des équipements situé partout dans le monde. Parmi ces appareils, on dénombrait des routeurs, des NAS, des lecteurs/enregistreurs de vidéo et des caméras web.

L’un des équipements les plus utilisés pour lancer des DDoS se trouve principalement au Vietnam. Cet appareil, le VNPT’s GPON IGATE GW040, a été largement infecté pour la simple et bonne raison que ses logins de connexion par défaut ont été divulgués sur Internet.

Cet appareil supporte le protocole d’administration à distance TR-069 et dispose d’un accès Telnet/SSH ouvert. La plupart des constructeurs fournissent sur leurs sites internet des documentations dans lesquelles on trouve les mots de passe par défaut, c’est le cas du GPON IGATE GW040. qBot, Hajime, Mirai et autres scanners utilisent un set de logins de connexion par défaut. Le fichier « scanner.c » de Mirai comporte par exemple 62 mots de passe par défaut de nombreux équipements et les créateurs de botnets recherchent en permanence de nouveaux logins et de nouveaux équipements pour les enrôler. (Radware)

Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, IOT, Mise à jour, Patch, Piratage

Protection du secteur ferroviaire contre les cybermenaces

L’avenir de la cybersécurité dans le secteur ferroviaire sera examiné au prochain Rail Cyber Security Summit (Sommet sur la cybersécurité dans l’industrie ferroviaire) qui se tiendra à Londres en mars 2017.

Désormais à sa deuxième édition, la manifestation qui aura lieu les 14 et 15 mars 2017 à l’hôtel Copthorne Tara Kensington de Londres réunira des professionnels du transport ferroviaire, des leaders mondiaux et du gouvernement spécialisés en cybersécurité et des universitaires du domaine.

La connectivité avancée et la numérisation des systèmes ferroviaires peuvent améliorer grandement l’exploitation du secteur ferroviaire, en assurant une efficacité et une optimisation élevées, en réduisant le bilan carbone tout en offrant de la valeur ajoutée aux propriétaires d’actifs, aux actionnaires et aux passagers. Cependant, ces avancées rendent l’infrastructure ferroviaire vulnérable aux cyberattaques, qu’elles soient provoquées par des menaces internes ou par des logiciels malveillants. Traditionnellement protégé contre ces menaces, le secteur ferroviaire est à l’heure actuelle bien plus vulnérable en raison de l’adoption des capteurs machine à machine, de l’Internet des objets ainsi que de la convergence de l’informatique et des technologies opérationnelles. Par conséquent, la mise en place de mesures de défense est indispensable à sa prospérité.

Avec la participation de conférenciers professionnels, notamment Stephen Cummins (Directeur de la cybersécurité ferroviaire auprès du ministère britannique des Transports), Tom Lee (Directeur adjoint Standards & Professional Responsable du CCS, Rail Standards and Safety Board) et Chris Blask (Directeur, ICS ISAC et Cyber Space Research, Institute Webster University), le sommet abordera des aspects cruciaux de la cybersécurité dans le secteur ferroviaire, dont les suivants :

Les menaces actuelles et futures et la riposte de l’industrie
L’importance de la « Security by Design » (sécurité assurée dès la conception)
Les défis à relier l’informatique et les technologies opérationnelles lors du déploiement d’une architecture axée sur l’entreprise.
Comment favoriser une prise de conscience

James Nesbitt, Fondateur du Cyber Senate, a commenté l’événement en ces termes : « Outre les nombreuses possibilités d’accroître l’efficacité du secteur ferroviaire, la technologie numérique l’a malheureusement rendu vulnérable aux cyberattaques susceptibles d’entraîner de graves conséquences. »

Pour en savoir plus : http://www.railcybersecurity.com

Argent, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Leak, Particuliers, Piratage, santé

L’hygiène informatique dans les hôpitaux, un enjeu de sécurité publique

La numérisation de la société et des services publics n’épargne pas les hôpitaux et autres institutions de soins. Mais depuis plusieurs mois, ces établissements sont la cible de pirates dont les attaques représentent un vrai danger pour l’intégrité de notre système de santé.

Hygiène informatique dans les hôpitaux – C’est un chiffre qui a de quoi étonner : en 2015, en France, 1300 attaques informatiques ont été dirigées contre des établissements de santé, hôpitaux inclus. A l’échelle quotidienne, le chiffre est encore plus saisissant avec une moyenne de 3 à 4 actions malveillantes par jour à l’encontre des systèmes informatiques (SI) de ces établissements. Et encore, on ne parle ici que des actes de piratage officiellement déclarés aux ministères des Affaires sociales et de la Santé. La discrétion observée dans le milieu ne laisse entrevoir que la partie émergée de l’iceberg. Pour des raisons de sécurité mais aussi de réputation…

Aujourd’hui, le bon fonctionnement d’un hôpital dépend toujours de l’organisation et des compétences de son personnel. Mais plus seulement ! Il dépend aussi des outils numériques utilisés à tous les étages. Tous ces équipements connectés qui constituent l’hôpital moderne, désigné officiellement par les pouvoirs publics comme l’hôpital numérique.

A l’accueil par exemple, c’est l’ordinateur qui permet de créer un dossier patient sur le système central de l’établissement. C’est la borne interactive destinée à orienter les visiteurs. En salle d’opération, ce sont les écrans d’aide à l’intervention chirurgicale, les moniteurs de suivi du patient.

Dans le stock de médicaments, ce sont les robots préparateurs en pharmacie. Dans les chambres, c’est le système de divertissement et d’informations médicales consultable par le patient sur tablette tactile.

C’est aussi le réseau Wi-Fi local qui permet au personnel de consulter les dossiers médicaux à partir de n’importe quelle pièce, de n’importe quel support, vers n’importe quelle source, interne ou externe…

15 000 euros de rançon
Chacun de ces appareils connectés à l’avantage de faire gagner du temps, de la précision, et de l’argent. Mais ils ont le principal défaut d’être le plus souvent reliés à un seul et même réseau. Pour des raisons de coût et de négligence…

Un caillou jeté dans cette vitrine technologique, et c’est le fonctionnement de tout l’établissement qui s’en trouve perturber. Le centre médical presbytérien d’Hollywood, aux États-Unis, en a fait l’amère expérience en février 2016.

Un ransomware, baptisé Locky, a été injecté dans le réseau de l’établissement, verrouillant l’accès aux serveurs et ordinateurs utilisés par le personnel. Moyennant une somme négociée à 15 000 euros avec les pirates à l’origine de cette paralysie, le centre a pu retrouver l’accès à son réseau.

En France, quelques semaines plus tard, c’est le centre hospitalier d’Épinal qui était la cible d’une attaque. Croyant recevoir un mail de son avocat, un médecin a cliqué sur la pièce jointe au message. Le geste a contaminé l’ensemble du réseau de l’hôpital. La direction de l’établissement est restée très évasive sur ce piratage, sans confirmer l’attaque du ransomware avancée par le site spécialisé Zataz.

Comme son nom l’indique, le ransomware, ou rançongiciel en français, a vocation à permettre de soutirer une rançon avant de redonner accès aux outils numériques d’un établissement. Où il est ici « seulement » question d’argent.

Mais l’attaque d’un hôpital peut provoquer plus de dégâts, encore hypothétiques aujourd’hui. Tout d’abord sur le matériel, comme l’a expérimenté le spécialiste en cybersécurité, Sergey Lozhkin.

Hygiène informatique dans les hôpitaux

Le vrai-faux pirate a réussi à prendre le contrôle du scanner médical d’un hôpital via le réseau interne wi-fi de l’établissement. Rien de malveillant dans l’intention. Juste la démonstration qu’aux commandes de la machine, il pouvait en dérégler les paramètres, jusqu’à provoquer une panne sur un outil précieux, tant du point de vue médical que financier.

Ce qui peut être fait sur un scanner, peut l’être tout autant sur une climatisation ou, pire, sur un appareil d’assistance branché sur un malade. Et dans ce cas, le changement des paramètres peut alors avoir des conséquences bien plus fatales…

Face à ces attaques, les hôpitaux et autres établissement de santé se donnent-ils pour autant la force d’agir et de réagir ? Oui, pour une grande majorité si l’on se réfère à l’Atlas 2016 des systèmes d’information hospitaliers (SIH). Selon ce rapport annuel délivré par la Direction Générale de l’Offre de Soins (DGOS), 88% des établissements de santé disent avoir engagé une politique de sécurité du système informatique, contre 74% l’année précédente. L’objectif imposé par l’Etat dans son programme Hôpital numérique est de 100% d’ici à 2018.

La sensibilisation du personnel à l’ Hygiène informatique

Mais reste à savoir quels moyens cela implique. Un chiffre relativise cette notion de politique de sécurité : seuls 8% des établissements ont un référent à temps complet. L’implication est plus importante pour les CHU et CHR, avec un Monsieur -ou une Madame- Sécurité SI à temps complet dans 42% des cas. Les autres mutualisent ou externalisent.

Quelle que soit la formule choisie, la politique de sécurité informatique d’un hôpital passe par la sensibilisation de son personnel. Car le point d’entrée le plus vulnérable d’un réseau, c’est bien l’humain. Sa méconnaissance des dangers, comme l’ouverture d’une pièce jointe dans un mail, peut conduire à la catastrophe. Ou l’affichage d’un mot de passe sur un bout de papier collé sur un bureau pour l’ensemble d’un service…

L’hygiène informatique en milieu hospitalier passe aussi par une évaluation de la solidité du réseau et des matériels connectés, des ordinateurs jusqu’à l’IRM. Par une protection anti-virus et l’utilisation de mots de passe complexes, pour accéder au réseau, puis à chacun des appareils connectés. Par une utilisation des derniers logiciels, et un suivi régulier de leurs mises à jour.

Tout comme les infections nosocomiales, les virus informatiques représentent une réelle menace pour les hôpitaux et autres établissements de santé. Ils n’ont donc d’autres choix, aujourd’hui et demain plus encore, que d’appliquer une politique d’hygiène informatique stricte. Il y va de la confidentialité de nos dossiers médicaux, mais aussi et surtout de l’intégrité du système de santé et de son bon fonctionnement au service du public. (Tanguy de Coatpont, directeur général de Kaspersky Lab France)

Cyber-attaque, Cybersécurité, DDoS, Mise à jour, Piratage, Sécurité, Smartphone

Les Hauts de France, une région infestée de zombies ?

Un commentaire
Révélation sur les villes et régions qui concentrent le plus de botnets et donc de machines-zombies en France.

L’éditeur américain de solutions de sécurité informatique, Symantec, a publié lors du lancement des Assises de la Sécurité un rapport mettant en lumières quelles régions et quelles villes en France avaient concentré l’an passé le plus de botnets, ces réseaux de machines zombies, que celles-ci soient des PCs, des Macs, des smartphones, tablettes ou d’autres objets connectés.

Contrôlées à distance par des cybercriminels et faisant partie d’un botnet, ces machines zombies sont utilisées pour réaliser des attaques par déni de services (ou DDoS – des attaques qui ont pour objectif de rendre indisponible un site Internet), envoyer du spam, perpétrer des fraudes au clic ainsi que de nombreux actes de cyber-crime, à l’insu du propriétaire du terminal infecté. Ces botnets, disponibles à la location sur des forums spécialisés et sur le darknet, peuvent coordonner des millions de terminaux connectés pour des attaques massives et coordonnées.

La France est le 5ème pays le plus hospitalier pour les zombies de la région EMEA, représentant plus de 7 % de la totalité des bots, et le 9ème au monde. « Les Hauts de France est la troisième région française la plus infestée en zombies, représentant 7,77 % du nombre total de bots en France, avec Lille comme principal foyer de zombies (4,16 % de la population nationale) » explique Laurent Heslault de chez Norton by Symantec. L’Île-de-France reste cependant la région où l’on trouve le plus de zombies, représentant 51,7 % du nombre total de bots du pays, avec Paris comme ville la plus infectée avec 26 % du nombre total de bots du pays. Pounic, 0,829%.

Les trois autres régions françaises les plus peuplées en zombies sont le Grand Est avec 8,92 % (Strasbourg avec 4,34 %), la région PACA avec 6,42 % (Marseille avec 2,49 %) et la région Auvergne-Rhône-Alpes totalisant 6,04 % (Lyon avec 3,97 %). Si l’on ramène les chiffres régionaux à la population connectée, la France se classe en 24ème position : l’internaute français court un risque sur 3 609 d’être un zombie (ou du moins l’un de ses terminaux).

Les meilleures destinations zombies dans la région
Si, parmi les destinations de longs week-ends, Istanbul arrive en tête des destinations zombies, avec plus de 11 600 bots détectés, les villes préférées des français sont bien souvent également celles des bots : Rome arrive au 3ème rang, Budapest au 4ème et Madrid au 8ème, offrant à l’Espagne la 6ème place du pays. Chacune d’entre elles abrite par ailleurs plus de la moitié des machines zombies recensées dans leur pays respectif.

La Turquie, l’Italie et la Hongrie dans le peloton de tête
La Hongrie figure dans le top 10 de tous les classements : nombre de bots total dans le pays (3ème) et les villes (Budapest et Szeged respectivement 4ème et 5ème), et proportion de machines-zombies par internaute (1er). Les bots y sont par ailleurs géographiquement très concentrés puisque Budapest et Szeged totalisent 93 % de ces infections dans le pays. Un internaute hongrois sur 393 utilise par ailleurs un terminal qui fait partie d’un botnet.

L’Italie arrive en 2ème position en raison du nombre élevé et de la forte concentration de machines zombies à Rome, qui représente 75 % de la population de bots totale de la … Botte (!).

La Turquie, qui a été la cible de plusieurs attaques par des groupes d’hacktivistes en 2015, concentre, et de loin, le plus grand nombre de bots, avec un nombre d’infections deux fois plus élevé que le second pays. Au 4ème rang mondial pour ce type de menaces, la Turquie héberge 18,5 % des bots de la zone EMEA, et 4,5 % au niveau mondial. En ramenant ces statistiques à la taille de la population connectée (la 7ème de la région), l’étude montre qu’un internaute turc a un risque sur 1 139 d’utiliser une machine-zombie. Par ailleurs, les machines zombies sont particulièrement urbaines, avec 97 % d’entre elles se trouvant entre Istanbul et Ankara. Ces deux villes en totalisent d’ailleurs plus que l’ensemble de l’état d’Israël.

En dépit des nombreuses escroqueries dites « à la nigériane », le Nigeria ne figure qu’au 94ème rang du nombre de bots par internaute1, avec une machine-zombie pour 2,1 millions d’internautes. D’une façon générale, les pays d’Afrique concentrent moins de bots par internaute que l’Europe occidentale ou le Moyen-Orient.

Si l’on considère le nombre de bots en le comparant au nombre d’internautes de chaque pays, on détermine le risque qu’encourt chaque internaute d’utiliser une machine – zombie. Sur ce critère, c’est la Hongrie et Monaco qui occupent la tête du classement. Les Hongrois ont un risque sur 393 d’avoir un terminal utilisé par ailleurs par des cybercriminels pour lancer des attaques ou diffuser du spam et les Monégasques un sur 457.