Archives par mot-clé : code malveillant

Android, backdoor, Cybersécurité

Des Trojans Android volent des logins et mots de passe d’utilisateurs Facebook

Détection de plusieurs applications malveillantes sur Google Play. De fausses applications qui volent des logins et des mots de passe d’utilisateurs de Facebook. Plus de 5,8 millions d’installations.

Un éditeur photo nommé Processing Photo. Il a été propagé par son développeur chikumburahamilton, ce malware a été installé plus de 500 000 fois.

Des applications App Lock Keep du développeur Sheralaw Rence, App Lock Manager éditée par Implummet col et Lockit Master du développeur Enali mchicolo, ces programmes malveillants permettent de configurer une limitation d’accès aux appareils Android et aux logiciels installés sur les appareils. Ces malwares ont été téléchargés au moins 50 000, 10 et 5 000 fois respectivement.

Un utilitaire destiné à optimiser le fonctionnement d’appareils Android – Rubbish Cleaner du développeur SNT.rbcl qui a été téléchargé plus de 100 000 fois.

Des programmes d’astrologie Horoscope Daily du développeur HscopeDaily momo et Horoscope Pi du développeur Talleyr Shauna. La première application a été installée plus de 100 000 fois et la deuxième plus de 1000 fois. Un programme de fitness Inwell Fitness du développeur Reuben Germaine, qui a connu plus de 100 000 installations.

Stealers

Un éditeur d’image PIP photo diffusé par le développeur Lillians. Les différentes versions de ce programme sont détectées comme Android.PWS.Facebook.17 et Android.PWS.Facebook.18. Cette application a été téléchargée plus de 5 millions de fois.
Dès que les experts de Doctor Web ont rapporté le problème à Google Inc., une partie des applications malveillantes ont été retirées mais au moment de la sortie de cette publication, certaines d’entre elles restent encore disponibles en téléchargement.

De plus, l’étude de ces stealers a montré l’existence d’une version antérieure d’un de ces malwares, propagée via Google Play sous couvert de l’éditeur photo EditorPhotoPip. Bien qu’il ait été retiré du catalogue, il restait disponible en téléchargement sur les sites d’agrégateurs d’applications.

Les applications étaient pleinement opérationnelles, ce qui devrait affaiblir la vigilance de leurs victimes potentielles. Pour accéder à toutes leurs fonctions, ainsi que pour prétendument désactiver la publicité, les utilisateurs étaient invités à se connecter à leurs comptes Facebook. Certaines applications contenaient des publicités, ce qui pouvait également affaiblir l’attention des utilisateurs et les pousser à exécuter une action proposée par les pirates. Si l’utilisateur acceptait la proposition et qu’il cliquait sur le bouton, il voyait un formulaire standard de saisie de login et de mot de passe.

Paramètres nécessaires pour voler des noms d’utilisateur et mots de passe

Il faut noter que les champs de saisie sont authentiques. Les Trojans utilisent un mécanisme spécialisé pour tromper leurs victimes. Après avoir reçu les paramètres d’un des serveurs de contrôle, les pirates téléchargent la page légitime de Facebook https://www.facebook.com/login.php dans WebView. Dans cette même WebView, ils téléchargent JavaScript depuis leur serveur qui intercepte les données d’authentification saisies. Ensuite, le JavaScript, en utilisant les méthodes fournies via JavascriptInterface, transmet les logins et les mots de passe volés aux applications, qui à leur tour les envoient au serveur des pirates. Une fois qu’une victime était connectée à son compte, les Trojans volaient également les fichiers cookies de la session d’authentification pour les envoyer aux pirates.

L’analyse de ces programmes malveillants a montré qu’ils ont tous reçu les paramètres nécessaires pour voler des noms d’utilisateur et mots de passe des comptes Facebook. Cependant, les attaquants sont en mesure de changer facilement les paramètres et de donner la commande de télécharger la page d’un service légitime ou d’utiliser un formulaire de saisie contrefait publié sur un site de phishing. Ainsi, les chevaux de Troie peuvent être utilisés pour voler des noms d’utilisateur et mots de passe de n’importe quel service. Le programme malveillant Android.PWS.Facebook.15 qui est une modification antérieure, est identique aux autres, mais il comprend également la sortie des données vers un fichier log dans la langue chinoise, ce qui peut indiquer son origine.

backdoor, Cybersécurité, Securite informatique

Mobile Malware Report – Une application malveillante toutes les 8 secondes

Les experts en sécurité de G DATA ont compté plus de 10 000 nouvelles applications malveillantes chaque jour au cours du premier semestre 2019. Près de 2 millions de nouvelles applications malveillantes au cours des six premiers mois de 2019. En moyenne cela représente une application infectée pour Android qui apparaît toutes les huit secondes.

Le nombre de nouvelles applications malveillantes pour les appareils Android a légèrement diminué au premier semestre 2019. Alors que les experts de G DATA avaient comptabilisé plus de 2 millions d’applications infectées entre janvier et juin 2018, ils en ont trouvé 1,85 million cette année. « Le risque pour les smartphones et autres appareils mobiles reste très élevé « , déclare Alexander Burris, chercheur mobile en chef chez G DATA. « Parce que les smartphones sont devenus des compagnons indispensables, ils sont une cible attrayante pour les cybercriminels. Les logiciels publicitaires ou de rançon, qui nuisent directement à l’utilisateur, sont particulièrement lucratifs. » Fin juin, le nombre total d’applications malveillantes connues s’élevait à près de 94,2 millions.

Trop de versions d’Android

Le potentiel de menace toujours élevé d’Android est favorisé par la forte fragmentation du système d’exploitation. Actuellement, seulement 10 % du parc Android dispose de la dernière version 9. Quant à Android 8 – Oreo – il est seulement utilisé sur 28 % des appareils en circulation. Cela signifie que près de 60 % des appareils utilisent encore des versions datant d’avant août 2017, autrement dit qui sont totalement obsolètes.

Le label Android One de Google tend à corriger ce problème. En optant pour un smartphone portant ce label, l’acheteur est assuré que son appareil recevra les mises à jour du système pendant 2 ans.

L’annonce de la conversion d’une grande partie de l’infrastructure de mise à jour vers la nouvelle version Android Q et de la mise à jour des composants du système indépendamment des surcouches des fabricants permet également d’espérer que le problème des mises à jour sera résolu à terme.

Appareils obsolètes et imports bon marché

Les systèmes d’exploitation et les smartphones obsolètes qui n’ont pas les correctifs les plus récents permettent aux pirates d’installer facilement des logiciels malveillants sur l’appareil. Les raisons de cette situation sont doubles : soit il n’y a pas de mises à jour pour l’appareil, soit les clients ne les installent pas. Mais il peut également arriver que des appareils bon marché importés d’Asie soient vendus avec des logiciels malveillants préinstallés. Ces logiciels malveillants, principalement des spywares, permettent au constructeur malhonnête de récolter des informations sur l’utilisateur et de monétiser ce client par l’affichage de publicités ou l’installation d’applications à son insu. Bref, un logiciel de supervision destiné aux DSI peut faire parti de l’arsenal pour surveiller les installations « bancales ».

Haro sur le Google Play

Depuis quelques mois, le Play store ne fait plus recette auprès des gros éditeurs. Epic Games avait lancé les hostilités l’ année dernière en choisissant de ne pas  sortir son application Android sur la plateforme d’applications de Google. D’autres, tels que Tinder ou Netflix ont fait le choix de détourner le paiement vers leur propre boutique. La commission de 30 % demandée par Google ne passe plus… Si une telle tendance se confirmait, l’émergence de plateformes parallèles pourrait devenir une opportunité pour les cybercriminels.

Des pertes en millions

SimBad, Operation Sheep et Agent Smith sont trois exemples qui illustrent le succès des cybercriminels. 150 millions d’utilisateurs auraient une application Android avec le malware SimBad installé. La deuxième campagne de malware réussie est connue sous le nom d’Operation Sheep. Les applications infectées ont été téléchargées plus de 111 millions de fois. Toutes les applications se trouvent principalement dans les boutiques d’applications tierces. L’agent Smith est le nom de la troisième grande campagne. Elle a infecté 25 millions de smartphones en Asie. Une fois installé, l’agent remplace les applications par des clones infectés afin qu’ils affichent de la publicité. Bref, La transformation numérique des organisations doit prendre en compte ce genre de malveillance.

backdoor, Leak

TajMahal, le petit palais de la malveillance numérique

TajMahal, une rare plate-forme de cyberespionnage forte de 80 modules malveillants, avec des fonctionnalités inédites et sans liens connus avec des menaces existantes.

Des chercheurs ont mis à jour une plate-forme de cyberespionnage techniquement très élaborée, active depuis au moins 2013 et sans liens apparents avec des menaces connues. Cette plate-forme, nommée TajMahal par les chercheurs, compte environ 80 modules malveillants et présente des fonctionnalités jusque-là inédites dans une menace persistante avancée (APT), par exemple la capacité de voler des informations dans les files d’attente d’imprimante et de capturer des fichiers, repérés précédemment sur une clé USB, lors de sa connexion suivante. Kaspersky Lab a observé jusqu’à présent une seule victime, une ambassade d’un pays d’Asie centrale, mais il est probable que d’autres ont été touchées.

Les chercheurs de Kaspersky Lab ont découvert TajMahal vers la fin de 2018. Il s’agit d’une plate-forme APT techniquement très élaborée, conçue pour des activités poussées de cyberespionnage. L’analyse du malware révèle que la plate-forme a été développée et utilisée depuis au moins cinq ans, l’échantillon le plus ancien datant d’avril 2013 et le plus récent de 2018. Le nom « TajMahal » est celui du fichier servant à exfiltrer les données volées.

TajMahal 2.0

Il semble que la plate-forme TajMahal comporte deux principaux packages, qui se nomment eux-mêmes « Tokyo » et « Yokohama ».

Tokyo est le plus petit des deux, comptant environ trois modules. Il contient les principales fonctionnalités du backdoor (la porte dérobée) et se connecte périodiquement aux serveurs de commande et de contrôle (C&C). Tokyo exploite PowerShell et demeure présent sur le réseau même après le passage à la phase 2 de l’intrusion.

Cette seconde phase est Yokohama, une plate-forme dotée d’armes complètes d’espionnage. Celle-ci comprend un système de fichiers virtuel (VFS) regroupant l’ensemble des modules, des bibliothèques tierces open source et propriétaires, ainsi que des fichiers de configuration. On y dénombre en tout près de 80 modules, notamment de chargement, d’orchestration, de communication C&C, d’enregistrement audio, d’enregistrement des frappes clavier, de copie d’écran et de piratage de webcam ou encore destinés au vol de documents et de clés cryptographiques.

TajMahal peut également dérober des cookies de navigateur, collecter la liste de sauvegarde des appareils mobiles Apple ou de voler les données d’un CD gravé par une victime ainsi que des documents dans la file d’attente d’une imprimante. Le malware peut aussi commander le vol d’un fichier particulier sur une clé USB vue précédemment, fichier dérobé lors de la prochaine insertion de celle-ci dans l’ordinateur.

Les systèmes ciblés infectent à la fois par Tokyo et Yokohama

Cela donne à penser que Tokyo constituait la première phase de l’infection, déployant les fonctionnalités complètes de Yokohama chez les victimes qui présentent un intérêt, puis restant sur place à des fins de sauvegarde. Jusqu’à présent, une seule victime identifiée : une représentation diplomatique d’un pays d’Asie centrale, infectée en 2014. Les vecteurs de diffusion et d’infection de TajMahal sont pour l’instant inconnus.

« La plate-forme TajMahal est une découverte très intéressante et très curieuse. Sa complexité technique ne fait aucun doute et elle présente des fonctionnalités encore jamais observées auparavant dans une menace avancée. Un certain nombre de questions se posent. Par exemple, il paraît hautement improbable qu’un tel investissement ait été engagé à l’encontre d’une seule victime. Cela laisse penser qu’il existe d’autres victimes non encore identifiées et/ou que des versions supplémentaires de ce malware sont en circulation. Les vecteurs de diffusion et d’infection de la menace sont eux aussi inconnus. D’une manière ou d’une autre, celle-ci a échappé aux radars pendant plus de cinq ans. Que ce soit dû à son inactivité relative ou à une autre raison, cela constitue un autre mystère. Aucun indice ne nous permet d’attribuer cette menace ni de la relier à des groupes malveillants connus », commente Alexey Shulmin, analyste principal en malware.

APT, Argent, backdoor, Banque, Base de données, Cybersécurité, Entreprise, Fuite de données, ID, Particuliers, Securite informatique, Téléphonie

Anubis : cheval de Troie bancaire décortiqué

Anubis 2 est apparu dans le « paysage des menaces » en 2017 en tant que cheval de Troie bancaire en location (disponible pour les fraudeurs dans des forums undergrounds), l’auteur et créateur du malware se surnomme « maza-in ». Si ce dernier a disparu des radars, son outil malveillant est toujours en action.

En tant que malware bancaire, Anubis incite ses victimes à fournir des informations personnelles et sensibles, telles que les logins bancaires, des codes de sécurité bancaire et même des informations de carte de crédit. Mais ce logiciel malveillant va au-delà des attaques « overlay » bien connues, utilisées par les chevaux de Troie bancaires, car il combine des fonctionnalités avancées telles que le streaming d’écran du téléphoné infecté, l’accès à tous les fichiers à distance, l’enregistrement sonore, le key-logging et même un proxy réseau, ce qui en fait un malware bancaire efficace, mais également un potentiel outil pour espionnage.

D’un point de vue opérationnel, Anubis peut être considéré comme l’un des chevaux de Troie bancaires Android les plus utilisés depuis fin 2017. En ce qui concerne les banques Françaises, les suivantes sont ciblées : Axa, Banque Populaire, BNP Paribas, Boursorama, Caisse d’Épargne, Crédit Agricole, Crédit Mutuel, LCL, Palatine ou encore la Société Générale.

L’auteur a disparu, par son code malveillant

Au cours du premier trimestre 2019, l’auteur et créateur du cheval de Troie a disparu, laissant les clients existants sans assistance ni mises à jour; mais le risque demeure et pourrait même augmenter. Les campagnes d’infection d’Anubis comptent parmi les plus importantes jamais enregistrées pour les malwares bancaires : De nombreuses victimes ne sont pas conscientes du fait que le malware ne se déguise pas comme l’app de la banque, il se déguise principalement en tant qu’application tierce et reste inaperçu par les usagers. Anubis se fait par exemple passer pour : de faux jeux mobiles, de fausses mises à jour de logiciels, de fausses applications postales, de fausses applications Flash Player, de fausses applications utilitaires, de faux navigateurs et même de fausses applications de réseau social et de communication.

Les caractéristiques du cheval de Troie en font une menace importante : Habituellement, les chevaux de Troie bancaires effectuent principalement des attaques de type « overlay » afin de collecter les informations personnelles puis volent les SMS pour acquérir les codes bancaires, mais Anubis va plus loin que ça avec la streaming de l’écran du téléphone infecté, l’accès de fichiers à distance (accès au stockage du téléphone), l’enregistrement sonore, le key-loggign et même un proxy réseau (permettant au criminel de se connecter à la banque via le téléphone infecté).

300 banques dans le monde ciblées

Les campagnes d’infection d’Anubis ciblent en moyenne, plus de 300 banques dans le monde: La liste observée dans les campagnes Anubis contient environ 360 cibles, contenant la plupart des banques les plus grandes et les plus connues dans le monde, mais également des applications de communication et de réseautage social largement utilisées, ce qui signifie que personne n’est vraiment protégée, car même si une victime ne fait pas de banque en ligne le malware abusera d’autres applications (Liste complète de cibles en Annexe du blog).

Les malware qui deviennent orphelins ne sont pas toujours un bon signe : Beaucoup de gens pourraient penser que lorsque le propriétaire / auteur du malware disparaît, les opérations s’arrêtent… Malheureusement, ce n’est pas toujours le cas, surtout pas avec Anubis. Bien que l’acteur ait disparu, le cheval de Troie est toujours actif et le pire est que son code a été divulgué/fuit, ce qui pourrait amener de nombreux autres criminels à utiliser le programme malveillant. Toute l’analyse complète à découvrir sur Threat fabric.

Android, backdoor, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Espionnae, ID, Identité numérique, Logiciels, Mise à jour, Particuliers, Patch, Phishing, Piratage, Securite informatique, Smartphone, Téléphonie, Vie privée

Les cyberattaques ciblant Android en hausse

Les analystes de G DATA ont comptabilisé plus de 3,2 millions de nouvelles applications malveillantes à la fin du troisième trimestre 2018. Cela représente une augmentation de plus de 40 % par rapport à la même période en 2017. Les cybercriminels se concentrent sur les appareils mobiles, en particulier sous le système d’exploitation Android. La raison : huit personnes sur dix dans le monde utilisent un appareil Android.

À la fin du troisième trimestre, les analystes de G DATA ont recensé près de 3,2 millions de nouvelles applications malveillantes Android sur l’année, soit en moyenne 11 700 nouveaux dangers par jour. Il s’agit d’une augmentation de plus de 40 % par rapport à la même période de l’année précédente. En termes de sécurité, Android doit également lutter contre les équipements obsolètes. Dès 2017, Google a réagi avec le Project Treble, une fonctionnalité sous Android 8 qui permet une distribution plus rapide des mises à jour. Mais Android 8 est pour le moment dans un peu moins d’un appareil sur cinq – plus d’un an après son lancement en août 2017. Quant à la version actuelle 9, sa diffusion est inférieure à 0,1 % du parc.

Distribuer plus rapidement les mises à jour de sécurité

L’une des clés d’une meilleure protection réside dans la distribution rapide de mises à jour de sécurité. Selon « The Verge », depuis cet été Google oblige contractuellement les fabricants de smartphones sous Android à fournir des mises à jour de sécurité pour au moins deux ans. En détail, les appareils doivent recevoir au moins quatre mises à jour de sécurité Google au cours de la première année. Au cours de la deuxième année, les fabricants doivent assurer une fréquence de mise à jour qui permet de protéger les appareils des vulnérabilités datant de plus de 90 jours.

Un contrat qui comporte toutefois certaines limites. Seuls les smartphones de 100 000 utilisateurs concernés. En outre, l’accord ne s’applique qu’aux équipements mis sur le marché à partir de février 2018, avec une certaine tolérance admise jusqu’au 31 janvier 2019.

Le risque des logiciels espions

Les fonctionnalités étendues des logiciels espions ciblant le système Android sont une source d’incertitude. Ces codes malveillants rivalisent de techniques pour accéder au contenu des appareils. Dernièrement, les analystes de G DATA détaillaient le fonctionnement d’un trojan capable de lire les conversations WhatsApp. Les Smartphones contenant un nombre croissant d’informations sensibles, les attaquants ont bien compris l’intérêt de ces types de codes malveillants.

Virus Bulletin : Google parle d’Android

Lors de la conférence Virus Bulletin qui s’est tenue à Montréal en octobre, des chercheurs de Google ont fait deux présentations qui montrent que la sécurisation de la plateforme Android est un défi quotidien. L’analyste Maddie Stone a par exemple présenté une application malveillante qui déploie un niveau inhabituellement élevé de techniques pour ne pas être détecté par les systèmes automatisés de Google.

L’expert en sécurité Łukasz Siewierski a quant à lui présenté une campagne de logiciels malveillants préinstallés sur les smartphones Android. Selon son analyse, le malware était déjà installé pendant la phase de développement. G DATA a traité d’un sujet similaire lors du Virus Bulletin 2015 et pour la première fois en 2014.

Argent, Communiqué de presse, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, ID, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Propriété Industrielle, Sauvegarde, Securite informatique

Menace : les documents Office peuvent être dangereux

Nous utilisons quasiment tous des documents Microsoft Office. Qu’il s’agisse de documents de travail, de reçus électroniques ou du bail d’un nouvel appartement, les documents Office sont utiles à chacun d’entre nous et c’est en partie la raison pour laquelle nous sommes susceptibles de les ouvrir lorsque nous en recevons en pièce jointe d’un e-mail. Connaissant la propension de nombreux utilisateurs à ouvrir la quasi-totalité des documents, même ceux provenant d’une source non fiable, des individus malintentionnés choisissent couramment ces fichiers pour attaquer et infecter un système.

Nous allons ici passer en revue cinq techniques différentes permettant de détourner les documents Office pour en faire des armes d’attaque et d’infection des postes de travail Windows. Nous en avons déjà évoqué certaines précédemment, tandis que d’autres sont nouvelles.

Macros

Les macros sont le moyen le plus simple pour un assaillant d’infecter des documents Office. Les applications Office intègrent un moteur de scripts capable d’exécuter le langage VBA (Visual Basic for Applications). Du code malveillant contenu dans ces scripts peut ainsi s’exécuter sur le système dès l’ouverture du document, sans aucune intervention de l’utilisateur (à condition toutefois que ce dernier ait au préalable activé les macros). Si l’utilisateur n’a pas activé les macros, un message apparaît pour lui demander s’il souhaite le faire. Il s’agit de l’un des divers mécanismes de sécurité mis en place par Microsoft afin d’atténuer le risque présenté par les macros. Microsoft impose également une autre extension de nom de fichier (.docm au lieu de .docx pour les nouveaux documents contenant des macros). En dépit de ces mesures de sécurité, des utilisateurs décident néanmoins d’ouvrir ces fichiers et d’activer leur contenu, de sorte que les macros demeurent un vecteur courant, aussi bien pour des attaques vastes et simples destinées à propager un ransomware, telles que Emotet, que pour des campagnes élaborées, à l’image de Sofacy.

Comme l’illustre cet exemple, les auteurs des attaques tentent de convaincre les utilisateurs de désactiver les mécanismes de sécurité mis en place par Microsoft. Ils usent, pour ce faire, de techniques d’ingénierie sociale, persuadant l’utilisateur d’activer le contenu afin de pouvoir consulter l’intégralité du document. Dans l’exemple Sofacy, les assaillants ont simplement coloré le texte en blanc, de sorte que celui-ci était bien présent avant que l’utilisateur n’active les macros, mais invisible.

Fichiers Flash incorporés

En dehors des fonctionnalités intégrées telles que les macros, les documents Office peuvent aussi incorporer des objets externes, par exemple des fichiers Adobe Flash. Ces objets étant transmis au logiciel approprié pour leur traitement, toute vulnérabilité éventuellement présente dans ce logiciel peut également être exploitée par son incorporation dans le contenu Adobe Flash à l’intérieur du document Office. Un exemple de ce vecteur d’attaque est la faille Zero Day CVE-2018-4878dans Adobe Flash Player, exploitée par l’incorporation de fichiers SWF malveillants dans des documents Excel. Dans les attaques de ce type, le document Excel infecté incorpore un contenu Adobe Flash capable de déclencher la vulnérabilité Flash et d’exécuter du code shell intégré.

Editeur d’équations Microsoft

Comme pour les fichiers Adobe Flash incorporés dans un document Office, il est également possible d’insérer dans des documents des équations mathématiques qui seront interprétées par l’Editeur d’équations Microsoft, un outil ayant pour vocation de faciliter leur écriture :

Comme dans notre exemple précédent, des vulnérabilités dans l’éditeur d’équations s’exploitent par l’intermédiaire de documents Office malveillants. Nous en avons observé des cas tout récemment lorsque la faille CVE-2017-11882 a été exploitée, ouvrant la voie à d’autres, telles que CVE-2018-0802. Toutes deux touchent l’éditeur d’équations, ce qui permet d’amener l’utilisateur à ouvrir un document Office pour l’exécution de code à distance. Des vulnérabilités similaires dans l’Editeur d’équations Microsoft, telles que CVE-2018-0807 et CVE-2018-0798, identifiées par les chercheurs de l’Unité 42.

Il est à noter que, l’Editeur d’équations Microsoft s’exécutant sous la forme d’un processus distinct (eqnedt32.exe), les protections spécifiques à Microsoft Office, telles que EMET et Windows Defender Exploit Guard ne sont pas efficaces par défaut, car elles protègent uniquement les processus Microsoft Office (par exemple winword.exe).

Objets OLE et handlers HTA

Les objets OLE et les handlers HTA sont des mécanismes pour les documents Office. Ils font référence à d’autres documents inclus dans leur contenu. Ils peuvent servir à infecter un poste de travail de la manière suivante :

Un objet OLE2 (lien) s’incorpore dans un document Microsoft Word. Une fois le document ouvert, le processus Word (winword.exe) envoie une requête HTTP à un serveur distant afin de télécharger un fichier HTA contenant un script malveillant. Winword.exe recherche alors dans le handler le type « application/hta » via un objet COM, ce qui entraîne le chargement et l’exécution du script malveillant par l’application Microsoft HTA (mshta.exe).

Cette fonctionnalité a été exploitée dans la vulnérabilité CVE-2017-0199, permettant l’exécution de code à distance dans Microsoft Office/WordPad et corrigée par Microsoft en septembre 2017. Diverses campagnes y ont eu recours, par exemple OilRig.

Aux côtés des vulnérabilités OLE et HTA décrites plus haut, les auteurs des attaques ont découvert que des fichiers RTF peuvent également exécuter des objets OLE de type mime « text/html », au moyen de MSHTML. Cela signifie que les documents RTF présentent la même vulnérabilité aux attaques qu’Internet Explorer.

CVE-2018-8174

L’exploitation de cette vulnérabilité logique, nommée CVE-2018-8174, permet aux auteurs d’attaques d’exécuter du code HTML/JavaScript/VBScript arbitraire. Tandis que le code exécuté de cette façon se place dans une « sandbox » (où il ne peut lancer de nouveaux processus, écrire dans le système de fichiers ou effectuer d’autres opérations) à l’instar de tout autre code exécuté à partir d’Internet Explorer. Cette faille peut servir à en exploiter d’autres, par exemple une vulnérabilité UAF de corruption de mémoire dans le moteur VBScript, pour permettre l’exécution de code arbitraire dans le cadre de l’application Word (winword.exe) et la prise de contrôle du système.

Tandis que les attaques utilisant des documents comme vecteur sont courantes depuis plus d’une dizaine d’années, nous observons une augmentation récente de leur fréquence et de leur complexité. Cette tendance pourrait s’expliquer par la difficulté croissante d’exploiter les vulnérabilités des navigateurs, en raison du renforcement de leur protection par leurs développeurs. Quoi qu’il en soit, il est important pour les entreprises de savoir comment se défendre.

Android, Apple, backdoor, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, ios, Linux, Logiciels, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie

Android et macOS, des cybercriminels s’invitent dans des applications

Découverte de deux nouvelles menaces, l’une agissant sous macOS et l’autre sous Android. Le malware sous macOS a fait 1 000 victimes. Quant à la menace sous Android, plus de 5 500 téléchargements ont été effectués.

Un malware s’invite dans les macOS. Si son impacte est encore légére, la cyberattaque présage un avenir plus mouvementé pour les utilisateurs de Mac et Android. Selon les chercheurs de l’éditeur d’antivirus ESET, une application créée par l’éditeur Eltima a été infiltrée par des pirates. Mission, diffuser un code malveillant. Environ 1 000 utilisateurs, clients de l’éditeur de solutions de sécurité informatique, auraient été infectés par le kit OSX/Proton, disponible sur les marchés underground.

Les applications Elmedia Player (lecteur multimédia) et Folx® (gestionnaire de téléchargement) sont concernées. OSX/Proton est une backdoor qui possède de nombreuses fonctionnalités et permet de récupérer, par exemple, les détails de l’OS comme le numéro de série de l’appareil, nom complet de l’utilisateur actuel ; les informations provenant des navigateurs : historique, cookies, marque-pages, données de connexion. Un outil qui vise à collecter des informations sur les portefeuilles de cryptomonnaie pouvant être disponible sur les appareils infiltrés. Proton exfiltre aussi le trousseau macOS grâce à une version modifiée de chainbreaker ; la configuration du VPN Tunnelblick ainsi que les données GnuPG (chiffrement de mails) et de 1password (gestionnaire de mots de passe).

Cryptomonnaie : une version compromise de Poloniex sur Google Play

Avec plus de 100 cryptomonnaies au compteur, Poloniex est l’un des principaux sites d’échange de cryptomonnaie au monde. Les cyberpirates ont profité du fait qu’il n’y ait pas d’application officielle de Poloniex pour développer deux versions malicieuses. En plus de récolter les identifiants de connexion à Poloniex, les cybercriminels incitent les victimes à leur accorder l’accès à leur compte Gmail. Les pirates peuvent ensuite effectuer des transactions depuis le compte de l’utilisateur et effacer toutes les notifications de connexions et de transactions non autorisées depuis la boîte de réception. La première des applications malveillantes se nomme « POLONIEX » et a été installée 5 000 fois, malgré les avis négatifs. La deuxième application, « POLONIEX EXCHANGE », a été téléchargée 500 fois avant d’être retirée du Google store.

Android, Communiqué de presse, Cybersécurité, ios, Sécurité, Securite informatique, Smartphone, Téléphonie, Windows phone

Les cyberattaques mobiles ont augmenté de 40 %

Une nouvelle enquête menée par Avast révèle que les cyberattaques à l’encontre des smartphones et tablettes Android ont connu une hausse d’environ 40 % par rapport au second trimestre de l’année dernière.

« Les cyberattaques mobiles connaissent une forte hausse car les stratégies des hackers deviennent de plus en plus agiles et dangereuses. Leurs cibles privilégiées sont les données personnelles et la vie privée des utilisateurs, confie Gagan Singh, Directeur Général de la section mobile et IoT chez Avast. Nous mettons constamment à jour nos solutions de sécurité mobiles afin de faire face aux nouvelles menaces ; en combinant des technologies, telles que l’Intelligence Artificielle et l’apprentissage automatique, au plus vaste réseau de détection des menaces au monde, nous permettons aux consommateurs de rester en sécurité lorsqu’ils sont connectés. Les utilisateurs stockent leurs données les plus précieuses dans leurs smartphones, raison pour laquelle notre priorité est de développer des outils pratiques, capables de protéger leur vie privée et de sécuriser leurs appareils ainsi que leurs données. »

Principales conclusions de l’étude

L’enquête menée révèle une hausse de l’ordre de 40 % des cyberattaques mobiles, passant de 1,2 million à 1,7 million par mois. Les analystes ont en effet identifié une moyenne de 788 variations de virus par mois, soit 22,2 % de plus par rapport au second trimestre de 2016. Les résultats de l’étude indiquent également que les trois principales menaces mobiles ont pour but d’espionner et de subtiliser des informations personnelles (appelées « Rooters »), et d’inonder les utilisateurs de publicités, même en dehors de l’application (aussi désignées par le terme « Downloaders/Droppers » ou « fausses applications »).

 Les 3 principales menaces mobiles au 2e trimestre

  1. Rooters (22,80 %) — Les Rooters tentent d’obtenir un accès root au smartphone, par simple demande au téléphone ou au moyen d’un piratage, afin de prendre le contrôle de l’appareil pour espionner l’utilisateur et récolter ses informations ;
  2. Downloaders (22,76 %) — Les Downloaders, ou Droppers utilisent des méthodes d’ingénierie sociale pour piéger les victimes, et les inciter à installer des applications malveillantes. Les Droppers ont également pour caractéristique d’afficher des publicités en plein écran, même en dehors de l’application. Ces publicités ne sont pas seulement pénibles, elles sont bien souvent liées à des sites douteux ;
  3. Fausses applications (6,97 %) — Ce sont des applications trompeuses qui se font passer pour de véritables applis, afin d’engendrer des téléchargements et d’exposer les utilisateurs à des publicités.
Android, escroquerie, Téléphonie

Google Play tourmenté par les faux mods de Minecraft

80 applications malveillantes sur Google Play déguisées en mods dédiés au jeu Minecraft. Ils ont été téléchargés pas loin d’un million de fois.

Au total, les 87 faux mods ont donné lieu à 990 000 téléchargements avant d’être signalés par ESET les 16 et 21 mars 2017. Les applications répertoriées se divisent en deux catégories : le téléchargement de publicités (Android/TrojanDownloader.Agent.JL) et les fausses applications redirigeant les utilisateurs vers des sites Internet frauduleux (Android/FakeApp.FG).

Pour Android/TrojanDownloader.Agent.JL, ESET signale 14 fausses applications ayant causé 80 000 téléchargements, contre 910 000 installations pour les 73 applications malveillantes agissant sous Android/FakeApp.FG. Comme elles ne disposent pas de fonctionnalités réelles et qu’elles affichent de nombreuses publicités agressives, les avis négatifs apparaissent clairement sur Google Play.

Si un utilisateur a téléchargé des mods de Minecraft, il se peut qu’il ait rencontré l’une des 87 applications malveillantes. Il est facile de reconnaître ce type d’escroqueries : l’application ne fonctionne pas et un message apparaît avoir cliqué sur le bouton de téléchargement. Pour les fausses applications qui téléchargent des publicités, il n’y a pas non plus de fonctionnalités permettant de jouer et l’appareil continue d’afficher des publicités injustifiées. Toutefois, comme l’application malveillante est capable de télécharger des applications supplémentaires sur des périphériques infectés, la charge utile responsable des annonces peut, par la suite, être remplacée par des malwares plus dangereux.

Bien que ce qui suit ne soit pas encore entré dans les habitudes des Français, les chercheurs ESET rappellent qu’il est important d’équiper son téléphone portable avec une solution de sécurité efficace et adaptée aux mobiles. Il n’y a pas que les ordinateurs qui peuvent être infectés par un logiciel malveillant.

En 2016, ces derniers ont augmenté de 20% sur Android. Une solution de sécurité pour mobile permet, au même titre que celle dédiée aux ordinateurs, de détecter et supprimer les menaces.

Si un utilisateur souhaite supprimer les menaces manuellement, il doit désactiver les droits d’administrateur du périphérique pour l’application et le module téléchargés en allant dans Paramètres -> Sécurité -> Administrateur de périphériques. Il suffit ensuite de désinstaller les applications en allant dans Paramètres -> Gestionnaire d’applications.

 

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Logiciels, Piratage, ransomware, Social engineering

Les écoles bordelaises attaquées par un code malveillant

La moitié des écoles de Bordeaux victimes d’un étrange code malveillant.

Voilà qui est fâcheux ! Qui a cliqué sur le fichier joint qui a mis à mal l’informatique de quasiment la moitié des écoles de Bordeaux.  Une attaque « sans précédent » indique l’adjointe au maire en charge de l’éducation, Emmanuelle Cuny, dans les colonnes de Sud Ouest. A première vue, un ransomware qui s’est promené de machine en machine dans au moins 40 écoles sur les 101 du périmètres de la ville bordelaise.

Les données pédagogiques pourraient être perdues suite à cette infection selon le quotidien r. Espérons que le mot sauvegarde soit dans la bouche et le cahier des charges de la municipalité concernant les écoles maternelles et primaires de la ville.

A noter que l’Académie de Bordeaux a un contrat avec l’éditeur d’antivirus TrendMicro. Ce dernier  propose Internet Security dans « toutes les écoles du 1er degré, publiques et privées« . A première vue, tout le monde ne l’a pas installé. Une bonne formation ne fera pas de mal non plus !

Le site ZATAZ indiquait il y a peu des chantages informatiques ayant visé des écoles britanniques. Un pirate réclamait plus de 9000 euros à plusieurs établissements scolaires après avoir chiffré les données sauvegardées dans les ordinateurs des écoles.

Adobe, Arnaque, backdoor, BYOD, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, ID, Identité numérique, Leak, Logiciels, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Stegano, un malware publicitaire infectant de nombreux sites Internet

Découverte de Stegano, un nouveau kit d’exploitation se propageant via des campagnes publicitaires. De très nombreux sites Internet à forte notoriété ayant des millions de visiteurs quotidiens ont été touchés. Au cours des deux derniers mois, Stegano a été affiché auprès de plus d’un million d’utilisateurs. Stegano se cache dans les images publicitaires (en Flash) affichées sur les pages d’accueil des sites Internet.

Depuis le début du mois d’octobre 2016, des cybercriminels ciblent les utilisateurs d’Internet Explorer et analysent leur ordinateur pour détecter les vulnérabilités dans Flash Player. En exploitant leurs failles, ils tentent de télécharger et d’exécuter à distance différents types de malwares.

Ces attaques se rangent dans la catégorie des publicités malveillantes, c’est-à-dire que des codes malicieux sont distribués via des bannières publicitaires. La victime n’a même pas besoin de cliquer sur la publicité : il suffit qu’elle visite un site Internet l’affichant pour être infecté. Elle est alors renvoyée automatiquement vers un kit d’exploitation invisible permettant aux cybercriminels d’installer à distance des malwares sur son ordinateur.

« Certaines des charges utiles que nous avons analysées comprennent des chevaux de Troie, des portes dérobées et des logiciels espions, mais nous pouvons tout aussi bien imaginer que la victime se retrouve confrontée à une attaque par ransomware, » explique Robert Lipovsky, senior malware researcher chez ESET. « Cette menace montre combien il est important d’avoir un logiciel entièrement patché et d’être protégé par une solution de sécurité efficace et reconnue. Si l’utilisateur applique ces recommandations, il sera protégé contre ce genre d’attaque.» poursuit Robert Lipovsky.

« Stegano » fait référence à la sténographie, une technique utilisée par les cybercriminels pour cacher une partie de leur code malveillant dans les pixels d’images présents dans les bannières publicitaires. Ceux-ci sont masqués dans les paramètres contrôlant la transparence de chaque pixel. Cela entraîne un changement mineur des tons de l’image, rendant ces derniers invisibles à l’œil nu pour la victime potentielle.

Pour vous protéger, bannissez Flash de vos ordinateurs !

Android, Argent, Banque, Cyber-attaque, Cybersécurité, ID, Identité numérique, Leak, Particuliers, Piratage, Smartphone, Vie privée

Code malveillant bancaire pour Android

Code malveillant bancaire pour Android – L’équipe de recherche en sécurité de Zscaler a découvert une application malveillante Android se faisant passer pour l’app officielle de Sberbank, la plus grande banque d’Europe de l’Est.

code malveillant bancaire pour Android – De nombreuses tentatives de cyberattaques à son encontre ont déjà eu lieu par le passé et les pirates ont également essayé de s’attaquer à ses clients depuis leurs mobiles. Cette dernière tentative constitue, cependant, une percée majeure dans les efforts des pirates visant à nuire à cette organisation.

Le malware se fait passer pour l’application en ligne de la plus grande banque de Russie, Sberbank. Son apparence est identique à celle de l’application d’origine. Elle affiche un écran de connexion similaire et se sert de celui-ci pour dérober les informations d’identification de l’utilisateur dès que la victime tente de s’authentifier.

Une fois les informations d’identification acquises, l’app affiche une page d’erreur technique et se ferme. Le malware demande alors des privilèges d’administrateur qui, s’ils sont accordés, entraînent des effets dévastateurs sur le terminal infecté. Il peut intercepter les SMS et les appels entrants, ce qui permet au pirate de contourner l’identification OTP (mot de passe à usage unique) mise en œuvre par la banque. Par ailleurs, les faux écrans utilisés peuvent se superposés à ceux d’autres applications connues.

Explication technique de ce code malveillant bancaire pour Android

L’app apparaît comme étant celle de la banque Sberbank et demande des privilèges administrateurs une fois installée, comme indiqué ci-dessous : l’équipe Zscaler a tenté d’installer l’application originale Sberbank à partir du Play Store Google, et il est difficile de différencier l’app malveillante de l’originale. A noter : l’app Sberbank se trouvant sur le Play Store n’est pas infectée. Ce qui fait la particularité de ce malware est sa capacité à se substituer entièrement à l’app originale. Quand bien même la victime tenterait de la lancer, se serait l’écran d’identification du malware serait qui s’afficherait. Une fois les informations d’authentification entrées, elles sont envoyées à un serveur C&C. L’app affiche alors un écran d’erreur et se ferme.

Le malware ne s’arrête pas là, il peut également envoyer des SMS à n’importe quel numéro, selon la volonté du pirate ; intercepter des SMS ; lancer un appel ; intercepter un appel et d’attaquer d’autres applications en s’y superposant.

En ce qui concerne sa capacité à se substituer à une autre application, ce malware a été conçu, entre autres, pour attaquer les apps suivantes : Whatsapp, l’app du Google Play Store, VTB 24 Bank. Les fausses pages de login utilisées sont identiques à celles des apps officielles. Une fois lancées, les informations d’identification récupérées sont envoyées au serveur C&C comme vu précédemment.

Une nouvelle tendance chez les développeurs de malware, et des amateurs de code malveillant pour Android est de cibler les utilisateurs par le biais de fonctionnalités de sécurité d’applications. Dans un article précédent, les chercheurs Zscaler avaient présenté des attaques réalisées à partir de fausses applications de sécurité. Dans le cas de Whatsapp, par exemple, les victimes avaient été piégées par une fausse alerte sur la nouvelle fonctionnalité de chiffrement des messages. Un message s’affichait pour demander des informations d’authentification et de paiement pour cette nouvelle fonctionnalité.

Ce code malveillant bancaire pour Android a une approche particulièrement efficace pour rester actif sur l’appareil de l’utilisateur. Il enregistre un récepteur qui se déclenche dès que la victime tente de retirer les privilèges administrateurs de la fausse application. Ainsi, l’appareil Android se retrouve bloqué pour quelques secondes chaque fois qu’une tentative est faite.

Bref, cibler les utilisateurs par le biais de fausses applications bancaires est le moyen le plus facile et privilégié des pirates. Le malware présenté plus haut combine plusieurs fonctionnalités, en une seule et même application, pour une attaque en profondeur. Il est capable de se substituer à n’importe quelle app existante, il suffit au pirate d’envoyer un élément portant le nom de l’app en question pour dérober des données privées au propriétaire de l’appareil.

Le certificat pour cette application infectée a récemment été mis à jour et le serveur C&C a été enregistré il y a peu, ce qui pourrait indiquer que les pirates informatiques ont l’intention de continuer sur leur lancée. Une fois de plus, la prudence est de mise et il faut continuer à télécharger les applications à partir de sources officielles. Toute app provenant d’une tierce partie est à éviter.

Android, Cybersécurité, Smartphone, Social engineering, Téléphonie, Virus

2,3 millions de nouveaux dangers Android en 2015

Au niveau mondial, 66 % des détenteurs de smartphone utilisent un appareil sous Android. Cette domination du système de Google influe sur le nombre de dangers qui ciblent cette plateforme. En 2015, le chiffre record de 2,3 millions de dangers a été atteint, ce qui représente une augmentation d’environ 50% par rapport à l’année 2014. GDATA propose un aperçu des principaux dangers dans son Mobile Malware Report Q4/2015. Les experts sécurité de G DATA ont recensé 758 133 nouveaux programmes malveillants ciblant Android au cours du 4e trimestre 2015, ce qui représente une hausse de près de 32 % par rapport au trimestre précédent. Sur l’ensemble de l’année 2015, environ 2,3 millions de  nouveaux dangers ont ciblé les systèmes Android.

Argent, backdoor, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Particuliers, Piratage, Virus

Un nouveau malware qui cible les services financiers

Découverte par le SOC (Security Operating Center) de F5 Networks et détectée par les solutions de sécurité F5 WebSafe en novembre 2015, l’attaque Tinbapore représente un risque de plusieurs millions de dollars.

L’enquête des experts en sécurité de F5 révèle que Tinbapore est une nouvelle variante du malware Tinba qui avait jusqu’ici ciblé les organismes financiers en Europe, au Moyen-Orient, en Afrique (EMEA) et aux US. Le malware Tinba original a été écrit en employant la programmation en langage assembleur et s’est fait remarqué pour sa très petite taille (20 Ko avec tous les Webinjects et la configuration). Le malware utilise principalement quatre bibliothèques du système lors de l’exécution : ntdll.dll, advapi32.dll, ws2_32.dll et user32.dll. Sa principale fonctionnalité est de se raccorder à tous les navigateurs de la machine infectée afin de pouvoir intercepter les requêtes HTTP et effectuer des injections web.

Les nouvelles versions améliorées du malware utilisent un algorithme de génération de domaine (DGA – domain generation algorithm), ce qui rend le malware beaucoup plus persistant et lui donne la possibilité de revenir en activité, même après que le serveur de commande et de contrôle (C&C) soit coupé. Cette nouvelle variante de Tinba – Tinbapore – créée désormais sa propre instance explorer.exe qui fonctionne en arrière-plan. Elle diffère de la plupart des versions précédentes car elle vise activement les organismes financiers de l’Asie-Pacifique (APAC), un territoire inexploré pour Tinba.

Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage, Social engineering

Code malveillant dans la gestion des Hôtel Hyatt

Après les Hôtels Sheraton, Hilton et Le Meridien, c’est au tour du groupe hôtelier Hyatt d’être la cible d’une attaque informatique.

L’hôtelier américain Hyatt a indiqué sur son site Internet avoir été la cible d’une attaque informatique d’envergure. Une enquête en cours a permis de découvrir que des ordinateurs de la marque américaine avait été infiltrés et qu’un code malveillant permettait l’accès aux informations internes et sensibles.

Dans son communiqué de presse Hyatt Hotels indique avoir identifié « récemment » un programme informatique malveillant dans des systèmes informatiques habituellement utilisés dans la gestion du système de paiement de ses sites Internet « Sitôt l’activité découverte, la société a lancé une enquête et engagé les meilleurs experts en sécurité, dixit Hyatt, Les clients peuvent avoir confiance quand ils utilisent une carte de paiement dans des hôtels Hyatt dans le monde ». Chuck Floyd, le président des opérations chez Hyatt, encourage les clients à surveiller de près leurs relevés bancaires. Sait-on jamais !

Les hôtels, cibles faciles pour les pirates
Comme je peux vous l’expliquer et démontrer depuis des années, les Hôtels, et leurs clients, sont des proies faciles pour les pirates informatiques. Poubelles, documents bancaires, ordinateurs sont quelques portes d’entrées faciles. Combien d’hôtels infiltrés sans que personne ne puisse le savoir ? Impossible à savoir. Les cas que je traite, via le protocole de zataz.com, sont de plus en plus nombreux à l’image de du Carthage Thalasso sur la côte Tunisienne. Des internautes annonçait avoir la main sur les ordinateurs de cet important établissement hôtelier.

Cheval de Troie, accès à l’administration, aux documents des employés. Autant de données revendus, ensuite, dans le blackmarket. Fin septembre, le Département de la Justice de l’État de Californie (DoJC) confirmait le piratage d’au moins sept hôtels du groupe Trump. Ici aussi, un code malveillant avait été découvert. Des Français impactés ? très certainement, à l’image de ceux touchaient par le piratage de 10 hôtels du groupe Mandarin Oriental ou encore cette révélation concernant plusieurs dizaines d’Hôtels de part le monde dans lesquels j’avais pu découvrir des données privées et sensibles appartenant à des entreprises Françaises. Documents oubliés par des vacanciers, dans les ordinateurs en accès libres des hôtels visités.

Apple, Cybersécurité, ios, iOS, Logiciels, Mise à jour, OS X, Patch, Smartphone, Social engineering

Sécurité de l’AppStore : la fin du mythe ou simple retour à la réalité ?

Apple et son Store victimes d’une attaque de sécurité majeure ! Une centaine d’Apps infectées par le biais d’une librairie utilisée par les développeurs ! La forteresse aura tenu longtemps, mais elle a fini par céder et l’actualité nous rappelle quelques vérités élémentaires en matière de sécurité informatique.

Peut-on faire confiance à un acteur mondial, fut-il Apple, pour traiter à l’échelle planétaire, et pour tout le monde, la sécurité des Apps ? Qui n’a jamais tenté de publier une application mobile sur l’AppStore, n’imagine pas les moyens et les efforts déployés par Apple pour effectuer des contrôles de sécurité poussés sur les applications mobiles distribuées sur son store. C’est un fait indéniable. Et c’est une réalité vécue quotidiennement par tous les développeurs. Apple évalue, Apple contrôle, Apple audite … Et Apple rejette les Apps qui ne répondent pas à ses exigences de sécurité. Cela ne fait aucun doute. Apple ne bâcle pas le travail en matière de sécurité. Il en va de son image. Mais pour autant est-il bien raisonnable d’imaginer qu’un acteur unique, fut-il le plus puissant de la sphère numérique, puisse promettre au monde entier un espace de sécurité absolue, contrôlé par lui seul et sur la base de règles qui lui sont propres ? Certes il est confortable et rassurant de le croire. Certes les preuves sont réelles des efforts consentis par Apple pour offrir à ses clients le store le plus sécurisé de la planète numérique.

Mais hélas, la réponse est non ! Et la preuve vient d’en être apportée par l’actualité récente. Apple est faillible car il est simplement impossible à échelle mondiale de garantir un espace de sécurité universel, commun pour tous, et cela, indépendamment du contexte d’usage des Apps, des terminaux mobiles et des systèmes d’information avec lesquels ils interagissent. La sécurité numérique est une notion subjective. Chaque entreprise voit la sécurité à sa porte avec ses propres règles, adaptées à ses spécificités et à ses composants sensibles. Imaginer le contraire relève quasiment de l’inconscience.

Les entreprises ne peuvent pas faire l’économie d’ajouter leur propres contrôles de sécurité aux contrôles d’Apple, fussent-ils les plus rigoureux. Agir différemment reviendrait à considérer dans le monde physique que la sureté du territoire national étant prise en charge par les services de l’Etat, il n’est pas nécessaire pour l’entreprise d’assurer sa propre sécurité et celle de ses personnels.

Apple n’y est pour rien. La firme de Cupertino aura beau multiplier les contrôles de sécurité. Ils ne couvriront jamais les exigences propres d’une banque, d’un opérateur de télécommunication ou d’un distributeur d’énergie. La sécurité numérique d’une entreprise est aussi et avant tout son affaire propre ! L’entreprise peut-elle faire confiance à ses seules équipes internes et/ou à ses prestataires, pour s’assurer de la sécurité de ses propres Apps ?

La première réponse qui vient à l’esprit est naturellement oui. Après tout, les équipes internes savent bien ce qu’elles font. Quant aux prestataires, ils sont encadrés et contrôlés, et ils auraient beaucoup à perdre à introduire des comportements malveillants au sein des applications mobiles qu’ils développent.

Hélas ! L’actualité d’Apple révèle combien le monde numérique est lié et interdépendant. La malveillance n’est pas venue des équipes de développement, qu’elles soient internes ou externes. Elle était simplement logée dans les outils qu’ils avaient à leur disposition … Dès lors la vieille histoire du cheval de Troie se réécrit en version numérique et la désormais fameuse librairie X code aura permis aux pirates de prendre la citadelle Apple en douceur.

Mais au final, et en toute bonne foi, des équipes de développement auront livré une application comportant une portion de code malveillant.

La leçon qu’il faut en retenir est simple : en matière d’applications mobiles, comme dans tous les domaines, la confiance implique le contrôle. Les entreprises doivent s’assurer que leurs applications et l’ensemble des éléments qui les composent sont auditées avec soin et cela dans les multiples et complexes ramifications qui constituent leur code informatique complet.

Peut-on aborder la sécurité des Apps au sein de l’entreprise de manière binaire ?
Une application doit être saine ou malveillante. Autorisée ou bloquée. Oui ou non, les questions de sécurité ne doivent accepter que ces seules réponses. Bien entendu, le monde des applications mobiles serait idéal si les réponses de sécurité étaient simplement binaires. Mais ce monde idéal n’existe pas. La sécurité est une notion relative. Chaque entreprise doit la considérer selon ses règles propres. En vérité, les applications se classent en 3 grandes catégories :

Les applications saines. Leur comportement ne présente pas de risque pour l’entreprise et ses collaborateurs. Pour autant, sur des critères qui ne relèvent pas de la sécurité, elles peuvent être interdites dans un cadre professionnel, à l’exemple des Apps de jeu électronique.

Les applications malveillantes. Indépendamment du contexte particulier d’une entreprise, certains malwares sont de véritables malwares universels. Une App de type « Ransomware » qui prend en otage les données de l’utilisateur (en les chiffrant) contre paiement d’une rançon, est à proscrire.

Et les applications « grises ». Elles sont saines pour certains. Elles sont malveillantes pour d’autres. L’interprétation de leur comportement dépend du contexte de l’entreprise. Une application qui récupère la géolocalisation de l’utilisateur peut être considérée comme dangereuse ou non, selon le contexte de l’entreprise.

La « zone grise » apporte de la complexité dans la gestion de la sécurité des Apps car elle possède des frontières à géométrie variable. Il convient à chaque entreprise de définir ses règles propres pour contrôler cette partie de l’univers des Apps qu’elle propose à ses salariés.

L’expérience révèle qu’à ce jour la majorité des entreprises oublient les Apps grises. Elles délèguent à un acteur mondial comme Apple le soin de gérer pour leur compte la question de la sécurité des Apps. Mais cela est impossible. Un acteur mondial ne peut déployer que des règles universelles communes pour tous. Or, les Apps grises doivent être traitées au cas par cas. D’autant que les technologies qui permettent une gestion personnalisée existent désormais sur le marché. (Par Clément Saad, Président de l’entreprise Pradeo)

Argent, Arnaque, Banque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Particuliers

Un code malveillant s’invite dans les paiements des clients de Village Pizza & Pub

2 commentaires

Le groupe Pizza & Pub Village vient d’informer ses clients qu’un code malveillant a été découvert dans son système de paiement. Un espion qui aurait été installé via le système de paiement TransformPOS.

Le groupe de restauration Village Pizza & Pub propose, depuis 1978, de s’éclater la panse de sympathique pizza. Les clients peuvent payer en « cash » ou via carte bancaire. Pour ce dernier cas, Village Pizza & Pub utilise les services de TransformPOS. Cette entreprise fournit des caisses enregistreuses, des logiciels de gestion de salle de restaurant, …

Village Pizza & Pub vient d’informer ses clients d’une intrusion dans leur système avec un risque évident du piratage de leurs données bancaires. Village Pizza & Pub indique qu’un logiciel malveillant a été introduit par un pirate informatique. Ce dernier serait passé par l’outil de TransformPOS. Le fournisseur n’a pas encore réagi publiquement.

Dans le communiqué de presse de la chaîne de restauration, nous apprenons que TransformPOS a contacté un cabinet d’enquête privé pour mener une enquête approfondie. « Si les clients ont utilisé une carte de débit ou de crédit dans nos restaurant, souligne VPP, il est fortement conseillé de contrôler son compte en banque« . L’infiltration aurait durée plus de 3 mois, du 23 Avril 2015 aut 2 Août 2015.

Le code malveillant a intercepté les informations de la bande magnétique des cartes bancaires passées par le lecteur de Transform POS. « TransformPOS nous a assuré que la cause de l’incident a été identifié et résolu, que les mesures de sécurité renforcées ont été mises en œuvre, et que les clients peuvent utiliser en toute confiance leur carte » termine Village Pizza & Pub.

L’histoire ne dit pas si d’autres restaurants et commerces… ont été impactés.

backdoor, Cyber-attaque, Cybersécurité, Piratage, Virus

RunPE, le tueur de logiciels espion

Un commentaire

Phrozen RunPE Detector : Nouveau logiciel indispensable dans son kit de secours informatique.

Phrozen RunPE Detector est la nouvelle création d’un informaticien chercheur Français que nous vous présentons souvent dans les colonnes de Data Security Breach. En plus d’être un ami, il est surtout un sérieux dompteur de codes via son site Internet Phrozen Soft. Il y a quelques années, il sortait le logiciel RAT DarkComet. Un excellent outil qu’il devra stopper. Des malveillants ayant détourné son outil… comme le gouvernement Syrien pour espionner les opposants au régime. Une mésaventure qui n’a pas assommé notre codeur Français, bien au contraire. Depuis, il concocte des outils de sécurité qui mériteraient de se retrouver sur les étagères des éditeurs d’antivirus de la planète web. En attendant, ce nouveau logiciel, baptisé Phrozen RunPE Detector, va devenir un indispensable de votre boite à outil sécurité informatique.

Pour faire simple, la technique RunPE consiste à démarrer un processus légitime souvent signé puis de le suspendre pour remplacer son contenu par une application malicieuse, ainsi cela permet de contourner les restrictions des par feux et d’exécuter du code directement en mémoire. Malheureusement, très pratique pour piéger les antivirus. Une technique utilisée par les pirates dans leurs « crypteurs », mais aussi dans de nombreux RAT. De nombreux outils malveillants continuent d’utiliser cette technique populaire, bilan, JP Lesueur a décidé de faire un outil qui se charge de repérer la menace.

Un logiciel d’analyse dynamique, et non statique, qui détecte la menace et, permet même dans certains cas, de récupérer la source de la menace. Le logiciel est gratuit.

Argent, backdoor, Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering, Virus

Des pirates dans le réseau bancaire Isabel

Des pirates informatiques auraient visé le système bancaire belge Isabel.

Le nombre de cyberattaques contre les utilisateurs de toutes sortes de plateformes de banque en ligne est en nette augmentation. Les utilisateurs Isabel aussi peuvent être victimes d’actes de fraude ou de maliciels (logiciel malveillant). Malgré toutes les mesures de sécurité prises par Isabel SA et les banques, la sécurité des transactions n’est possible qu’avec la collaboration active des utilisateurs. Cependant, il semble que des pirates ont trouvé le moyen de nuire à cette entreprise forte de 35 000 clients professionnels.

Isabel SA est le principal prestataire belge de services en matière de PC Banking destinés aux utilisateurs professionnels. Les grandes entreprises, comme Breetec, des PME et des services publics utilisent ce système. Isabel c’est annuellement 400 millions de transactions pour une valeur de 2.400 milliards d’euro. Bref, de quoi attirer les pirates informatiques.

Selon la justice belge, des malveillants auraient mis en place un virus qui se serait attaqué à 35 000 entreprises belges. Des enquêtes ont été ouvertes par les parquets de Bruxelles et de Furnes. D’après le journal De Tijd, plusieurs sociétés auraient été victimes de ponctions pécuniaires orchestrées par le code pirate.

Isabel indique de son côté que le PC de l’utilisateur est contaminé par un maliciel (logiciel malveillant) au travers d’une pièce jointe proposé par un courriel. Le fraudeur prend le contrôle du PC à distance. Il effectue des transactions frauduleuses et les fait signer par l’utilisateur. « Le mode d’attaque ne change pas dans l’environnement Isabel. La seule différence se situe au moment où le fraudeur veut faire signer la transaction : à ce moment, le lecteur de carte émet un bip. Si l’utilisateur considère la demande du lecteur comme suspecte et n’introduit pas son code PIN, aucun problème. » Malheureusement, si l’utilisateur a le réflexe d’introduire son code PIN, il signera sans le savoir une transaction frauduleuse. C’est donc bien l’utilisateur qui signe des transactions qui seront ensuite exécutées par la banque.

Breetec, l’une des victimes, a été en mesure de retracer l’une des transactions qui s’est terminée dans une banque situé à Dubaï.

Cyber-attaque, Cybersécurité, Piratage, Virus

L’aéroport de Charleroi touché par un code malveillant

Voici venir le virus dans l’avion, du moins aux portes de ce dernier. L’agence Belga indique qu’un logiciel malveillant a contaminé plusieurs ordinateurs du réseau informatique de l’aéroport de Charleroi. Heureusement, on voit mal le gouvernement Belge dire le contraire, le trafic aérien n’a pas été perturbé par cette intrusion. Les machines ont été utilisées comme zombies pour lancer d’autres attaques. Heureusement que les pirates n’analysent pas tant que ça les machines malmenées. Bref, pas rassurant ! Les ordinateurs en question n’étaient pas mis à jour.