2017 aura définitivement marqué un tournant dans la cybercriminalité. Les entreprises, quelle que soit leur taille, prennent conscience de la gravité de la situation et de la nécessité de prendre des mesures pour se protéger. Si le volet technologique est indispensable, notamment via la sécurisation des terminaux fixe et mobiles, une récente étude révélait que les français ont la particularité de miser énormément sur la formation des collaborateurs. Il convient alors de savoir précisément de quelle manière les pirates procèdent pour propager leurs logiciels malveillants.
Les attaques par le biais de logiciels corrompus
Il n’est pas rare d’installer un logiciel téléchargé en validant chaque étape inconsciemment… et de se retrouver avec des barres d’outils venues perturber le fonctionnement de son navigateur Web ou encore afficher de la publicité intempestive… Une évolution de ce procédé a récemment fait grand bruit avec CCleaner. Le logiciel de nettoyage et de maintenance a vu l’une de ses versions compromises par des pirates au cours même de sa construction. Cela démontre une planification méticuleuse et un haut niveau de sophistication ! Cette mésaventure est également survenue sur des machines Apple avec le logiciel de gravure de DVD HandBrake, puis par les applications Elmedia Player et Folx distribuées par Eltima Software tous infectés par Proton. Celui-ci était capable de récupérer des mots de passe, notamment ceux stockés par les navigateurs. Encore une fois, la mise à jour est la meilleure façon de se parer. Comme les fabricants d’OS, les éditeurs de logiciels fournissent des correctifs de sécurité et autre mise à jour qu’il convient d’appliquer dès lors qu’ils sont disponibles.
Les attaques géolocalisées
Pour servir certains objectifs précis ou en réponse à certains comportements répandus dans certaines régions les pirates se mettent eux aussi au marketing. Les attaques géociblées visant à perturber, déstabiliser ou compromettre des données sont en de plus en plus fréquentes. Nous constatons ainsi l’émergence du ransomware Magniber qui, si la victime n’était pas localisée en Corée du Sud, s’auto-supprime de façon inoffensive. Finfisher cible quant à lui le Moyen-Orient et, propulsé par le groupe de pirates BlackOasis, des organisations et individus liés à la politique de la région, notamment des journalistes, militants ou membres de l’ONU. Enfin, BadRabbit et NotPetya ont été essentiellement actifs en Ukraine dans l’univers du transport pour le premier, et de l’énergie pour le second. Dans le monde francophone, c’est l’escroquerie au support technique qui a marqué les esprits. De fausses pages affichant des messages d’alerte invitaient les victimes à appeler un numéro. Au bout du fil, des opérateurs parlant un français quasi parfait et capitalisant sur leur crédulité se chargeaient alors de leur faire payer des prestations sans aucun intérêt.
La fraude publicitaire
La fraude publicitaire est problématique pour les annonceurs, qui, à cause de botnets imitant le comportement des visiteurs, voient leurs dépenses gaspillées et les statistiques de visibilité perturbées. Mais encore une fois, c’est l’internaute lambda qui risque le plus à cause de campagnes frauduleuses et de malwares conçus pour échapper à la détection. Une de ces campagnes, qui s’est déroulée sur Yahoo, incitait les utilisateurs à télécharger un faux patch pour Firefox. De plus en plus, les pirates utilisent des techniques de phishing dont l’une d’entre-elles consiste à remplacer un texte par de faux caractères. L’internaute se laisse ainsi persuader qu’il lui manque une police pour afficher correctement le contenu. Évidemment, l’installateur de polices proposé est bien souvent un Ransomware.
Les spams malveillants
Qu’ils contiennent des pièces jointes corrompues ou des liens revoyant vers des sites Web malveillants, les e-mails malveillants sont surement la manière la plus connue de propager des malwares. Récemment, plusieurs vulnérabilités ne nécessitant que peu ou pas du tout d’action de la part du destinataire ont été utilisées par les pirates. Sur simple ouverture, des pièces jointes ou des e-mails eux-mêmes ont pu provoquer des requêtes et télécharger et exécuter automatiquement du code malveillant. C’est notamment le cas du célèbre FinSpy malware. Les pirates ont aussi misé sur des technologies anciennes comme le format d’archivage .ace, pour déjouer la vigilance des systèmes automatisés et les utilitaires de détection de spam. Pour déjouer ces techniques, il est conseillé de n’ouvrir les e-mails et pièces-jointes d’expéditeurs connus en vérifiant non seulement le nom affiché mais également la syntaxe de l’adresse utilisée. Quand bien même les deux ne présentent aucun élément suspect, le lien à cliquer ou la pièce jointe remise ont-ils eux aussi une syntaxe correcte ? Et sont-ils réellement attendus ?
L’exploitation d’EternalBlue
En 2017, les ransomwares WannaCry et NotPetya ont fait couler beaucoup d’encre. Pour se propager, ces derniers utilisent une fuite provenant de la NSA et exploitée sous le nom d’EternalBlue qui exploite une vulnérabilité présente au sein de nombreux systèmes d’exploitation Windows. Signalé à Microsoft plusieurs mois avant la première vague d’attaque, et malgré le déploiement de correctifs, de nombreuses machines non mises à jour se sont vues infectées. Les ransomwares ne sont pas les seuls à en avoir profité. Adylkuzz, un mineur de Bitcoin utilise lui aussi ce vecteur pour infecter des systèmes et appliquer un patch empêchant tout malware supplémentaire de s’installer par la suite. CoinMiner, une autre famille de mineur, profite également d’EternalBlue pour opérer. En s’exécutant dans la mémoire courante des systèmes, sans fichier, il passe au travers des solutions de sécurité. Pour éviter ces situations, la meilleure arme reste de tenir son système actualisé en permanence grâce aux mises à jour fournies par l’éditeur de son système d’exploitation.
Ceux qui déclarent que la plus importante faille de sécurité en matière d’informatique se situe entre le fauteuil et l’écran n’ont pas tout à fait tort ! Au regard de ces différentes techniques, on notera que la simple vigilance humaine peut, dans bien des cas, être efficace pour empêcher la survenue des attaques. Néanmoins, dans le jeu du chat et de la souris avec les pirates, ce sont souvent ces derniers qui ont un coup d’avance. Par conséquent, au-delà de la formation des utilisateurs, des mesures technologiques de protection contre les menaces avancées ne doivent pas être négligées.
