Archives par mot-clé : disque dur

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde, Securite informatique

Identité à vendre : le marché de l’occasion petit bonheur des voleurs de données

2 commentaires

Marché de l’occasion : une récente étude de sécurité montre que trop souvent les gens ne parviennent pas à effacer correctement leurs données personnelles sur les disques usagés, mettant ainsi en péril leur identité et leur vie privée.

Une récente étude mondiale sur la sécurité révèle que vous mettez trop facilement vos informations personnelles en danger. La société de récupération de données Kroll Ontracka analysé des disques durs d’occasion achetés en ligne pour voir s’ils contenaient des traces de données après avoir été vendu par les propriétaires précédents. Parmi les disques examinés par Kroll Ontrack, des traces de données ont été trouvées sur près de la moitié. Malgré les efforts d’un utilisateur pour effacer ses données, la récupération reste simple. Surtout si un effacement n’est pas correctement effectué.

Pour cette étude, 64 disques durs d’occasion de diverses marques ont été achetées sur eBay (vendeurs privés). Les disques avaient été effacés avec succès ou contenaient encore des traces de données. L’étude a révélé qu’il restait des traces de données sur 30 disques (47%). Les 34 disques restants avaient été nettoyés avec succès (53%).

Données sensibles à vendre sur les sites de petites annonces !

La probabilité de trouver des données personnelles n’est pas le résultat le plus inquiétant de l’étude. La sensibilité de cette information l’est plus encore. Pour les utilisateurs imprudents, la vente d’appareils contenant des données personnelles s’apparente à la vente de leur identité.

C’est le cas d’un HD qui appartenait à une entreprise. Elle utilisait un fournisseur de services pour effacer et revendre ses anciens disques. Ce média contenait une mine d’informations très sensibles. Les noms d’utilisateur, adresses de domicile, numéros de téléphone et les détails de carte de crédit ont été retrouvés. Il contenait une liste d’environ 100 noms. Des informations sur leur expérience professionnelle, leur fonction, les téléphones et un carnet d’adresses de 1 Mo sortis du HD.

Marché de l’occasion : le diable est dans les détails

18 des 64 disques examinés contenaient des informations personnelles critiques ou très critiques. Près d’un tiers (21 disques) contenait des photos personnelles, des documents privés, des courriels, des vidéos … Des informations de compte utilisateur ont été découvertes sur huit lecteurs. La récupération de données transactionnelles a été possible sur sept disques durs. Cela incluait les noms de sociétés, les bulletins de salaire, les numéros de cartes de crédit, les coordonnées bancaires, les détails d’investissement et les déclarations de revenus.

Un média contenait toujours l’historique de navigation, tandis que des données explicites étaient présentes sur un autre.

Le risque s’étend au monde des affaires

Le domaine personnel n’est pas le seul à être touché. Des informations de nature professionnelle se retrouvent très souvent sur des appareils privés, comme par exemple les données commerciales. Six disques contenaient des données commerciales critiques telles que les fichiers CAO, PDF, jpgs, clés et mots de passe. Des paramétrages complets de boutiques en ligne, des fichiers de configuration et des vidéos de formation. Cinq autres contenaient d’autres données liées au travail : les factures et les bons de commande, dont une grande partie comprenant des renseignements personnels sensibles ont aussi été découverts.

Kingston Technology, fabricant et expert dans le domaine des disques SSD, souligne que les disques SSD se comportent très différemment des disques durs lorsqu’ils enregistrent ou effacent des données. Ces différences technologiques présentent leurs propres défis techniques lorsqu’il s’agit de supprimer de manière sécurisée les données des supports de stockage Flash. Les disques SSD ont plusieurs fonctions qui affectent l’état des données stockées, comme la fonction FTL (Flash Translation Layer), qui contrôle le mappage des fichiers, ainsi que le niveau d’usure, Trim, Garbage Collection et le chiffrement permanent. Tous ont un impact sur la récupération des données supprimées.

L’informatique et l’occasion, fuite possible

Attention, Data Security Breach rappelle que les données sont aussi récupérables sur les smartphones, consoles, TV connectées ou encore l’ordinateur de bord de votre voiture (GPS, …). La revente doit se faire dans les règles de l’art en vous assurant une destruction totale des données. Enfin, je vais être honnête, il est de plus en plus difficile sans passer par le marteau ou des outils puissants et couteux pour détruire le contenu.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde

Disques durs perdus dans la nature

La société Centene Corporation a perdu six disques durs et plus d’un million de données d’assurés.

Centene Corporation est une entreprise américaine dédiée à l’assurance santé. Elle est basée à Clayton dans le Missouri. La direction vient de lancer une enquête après avoir découvert qui lui manquait six disques durs. L’histoire pourrait s’arrêter là, sauf que les supports de sauvegarde transportent plus d’un million de dossiers d’assurés.

Ces six disques durs contiennent des renseignements personnels de patients passés par des laboratoires entre 2009 et 2015. Dans les données, non chiffrées : nom, adresse, date de naissance, numéro de sécurité sociale, numéro d’identification d’assuré, et des informations de santé. La société a déclaré qu’aucun des disques durs contenaient des informations financières. (Fox2)

Base de données, Cybersécurité, Entreprise, Mise à jour, Patch, santé

Kroll Ontrack présente le top 10 des pertes de données les plus insolites de l’année 2015

Kroll Ontrack, le spécialiste de la récupération de données et de la de la recherche d’informations et de preuves informatiques, vient de sortir son marronnier de Noël : les 10 pertes de données les plus insolites de l’année 2015. Une idée amusante qui permet de se rendre compte que « paumer » des informations numériques n’arrive pas qu’aux autres.

Peu importe la situation, que l’appareil ait été écrasé, brûlé, plongé dans l’eau, projeté contre un mur ou qu’il soit simplement tombé par terre, il existe toujours un espoir de récupérer des données que l’on pense perdues. Chez Kroll Ontrack on affirme être capable de récupérer des informations dans les pires des conditions. « Nous disposons de services et de logiciels propriétaires de récupération de données qui nous permettent de retrouver les précieuses données de nos clients et partenaires. » souligne à Data Security Breach Kroll Ontrack.

N° 10 : Les joies de l’été (Allemagne)
Le responsable informatique d’une petite entreprise en plein travaux de rénovation, y compris dans la salle serveur, constate un vendredi que les bâches en plastique servant à protéger cette salle n’empêchent pas la poussière de pénétrer à l’intérieur. Il décide alors de déplacer le serveur dans une autre pièce pour l’éloigner des travaux le temps du week-end. Le lundi matin au retour d’un week-end très chaud et ensoleillé, il s’aperçoit que ses collègues n’arrivent pas à se connecter. Il comprend rapidement qu’un de ses collègues avait éteint la climatisation de la pièce où il avait déplacé le serveur, qui avait considérablement surchauffé. Kroll Ontrack a pu récupérer 99 % des données.

N° 9 : PC vintage (Pologne)
Un client continue à utiliser son Amiga 600 (introduit sur le marché en 1992 !) quand un beau jour il cesse (finalement !) de fonctionner. Nul accident, nulle erreur humaine, simplement un vieil appareil arrivé en fin de vie. Son Amiga 600 était bien plus qu’une simple machine : c’était surtout un cadeau d’enfance rempli de souvenirs.

N° 8 : malchance professionnelle (Norvège)
Un particulier, victime d’une perte de données s’adresse à une entreprise locale de dépannage informatique. En pleine copie des données sur une sauvegarde pendant la nuit, processus qui peut prendre plusieurs heures, la femme de ménage de l’entreprise fait tomber accidentellement le disque par terre. Immédiatement, celui-ci émet un cliquetis très bruyant. L’entreprise de dépannage informatique ne prend pas de risque et envoie le disque. 98,8 % des données ont été récupérées en salle blanche.

N° 7 : Déjà vu (Pologne)
Un serveur RAID comportant 22 disques qui a déjà fait l’objet d’une récupération suite à une première perte de données. Le client a réutilisé les « bons » disques, remplacé les disques défectueux et a continué à utiliser le serveur. Le client n’a pas tiré de leçon de sa première perte de données : il n’avait pas mis en place de solution de sauvegarde, le serveur était tombé de nouveau en panne (et les disques ont dû de nouveau être envoyés en vue de récupérer les données). Moralité : ne jamais réutiliser un système défaillant sans mettre en place les protections nécessaires !

N° 6 : Données dissoutes (Pologne)
« J’ai renversé du solvant sur mon ordinateur portable. Je suis en route pour vos bureaux », annonce une voix au téléphone. Nous apprenons vite ce qu’il s’est passé : alors qu’il préparait une couleur de peinture personnalisée pour son épouse, ce qui nécessitait de mélanger différentes peintures avec du solvant pour obtenir la teinte souhaitée, notre client a renversé accidentellement le pot ouvert de solvant sur un ordinateur portable qui se trouvait par terre, utilisé pour diffuser de la musique. Une triste fin pour l’ordinateur, mais heureusement pas pour les données qui ont toutes été sauvées.

N° 5 : Coup de sang (États-Unis)
Passablement énervée, une cliente s’empare de son ordinateur portable et le jette de toutes ses forces contre un mur. Le disque rebondit contre le mur et tombe par terre. Malgré un lancer de 3 mètres, le choc contre le mur et la chute au sol, toutes les données ont été récupérées !

N° 4 : Un jardinage qui tourne mal (Royaume-Uni)
Un client est en train de tondre sa pelouse quand son smartphone tombe par mégarde par terre. Il s’en aperçoit trop tard après que la tondeuse soit passée dessus, broyant complètement l’appareil. Quelques minutes et un téléphone détruit plus tard, il contacte l’entreprise pour savoir s’il peut récupérer ses données.

N° 3 : iPad en vadrouille (Royaume-Uni)
Un client laisse tomber son iPad par la fenêtre d’un train en pleine campagne. Bien que miraculeusement retrouvé, l’iPad est gravement endommagé et l’accès aux données s’en trouve compromis. L’écran tactile est détruit, si bien que l’iPad ne répond plus au toucher, tandis que la seconde couche d’écran, composée du LCD (qui affiche le contenu), le châssis, la batterie et le connecteur Lightning sont tous endommagés. Les composants électroniques sont également endommagés, au point que l’iPad redémarre toutes les deux minutes, ne laissant à l’ingénieur que quelques secondes pour effectuer la récupération entre les redémarrages. Malgré ces obstacles, les experts découvrent que la carte mère est plutôt en bon état et 100 % des données sont récupérées !

N° 2 : iPhone embelli (Italie)
Alors qu’elle est en train de se démaquiller à la fin de la journée, une cliente renverse sa lotion nettoyante qui se répand sur son iPhone. Impossible alors de démarrer le téléphone. Elle contacte la société en stipulant que la lotion répandue par inadvertance est d’une marque très connue !

N° 1 : Feu + eau = solution ou problème ? (Royaume-Uni)
Quand votre ordinateur portable abritant toutes vos données se trouve dans votre appartement (sans avoir de sauvegarde) au moment d’un début d’incendie dans votre immeuble qui déclenche les extincteurs, on peut dire que ce n’est pas votre jour de chance ! Même dans ces conditions où le média a subi de lourds dégâts dus au feu et à l’eau, les techniciens réussissent à récupérer 100 % des données.

backdoor, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde

Equation Group : l’ancêtre du cyber espionnage ?

Un commentaire

Depuis plusieurs années, l’équipe GReAT (Global Research & Analysis Team) suivrait étroitement plus de 60 menaces avancées responsables de différentes cyber attaques à travers le monde. Elle a ainsi fait des observations de toutes sortes, les attaques gagnant en complexité à mesure qu’un nombre croissant de pays se sont impliqués et efforcés de se doter des outils les plus évolués. Cependant, ce n’est qu’aujourd’hui que les experts de  peuvent confirmer la découverte d’une menace dépassant tout ce qui était connu jusque-là en termes de complexité et de sophistication techniques. Le groupe à l’origine de cette menace, dénommé « Equation Group », est actif depuis près de 20 ans.

Le groupe se singularise par pratiquement chaque aspect de ses activités : il utilise des outils très complexes et coûteux à développer pour infecter ses victimes, récupérer des données et masquer ses actions d’une façon extrêmement professionnelle, ainsi que des techniques classiques d’espionnage pour diffuser ses codes malveillants. Pour infecter ses victimes, le groupe emploie un puissant arsenal d’« implants » (Troyen), notamment les suivants : Equation Laser, Equation Drug, Double Fantasy, Triple Fantasy, Fanny et Gray Fish. L’existence d’autres implants ne paraît faire aucun doute.

L’équipe GReAT a pu récupérer deux modules servant à reprogrammer le firmware du disque dur de plus d’une douzaine de marques répandues. Il s’agit peut-être de l’outil le plus puissant dans l’arsenal d’Equation Group et du premier malware connu capable d’infecter les disques durs. En reprogrammant le firmware du disque dur (c’est-à-dire en réécrivant le système d’exploitation du disque comme nous vous l’expliquons plus haut), le groupe atteint deux objectifs :

1.       Un niveau extrême de persistance permettant au malware de résister à un reformatage du disque et une réinstallation du système d’exploitation. Dès lors que le malware s’est introduit dans le firmware, il est à même de se régénérer à l’infini. Il peut par exemple empêcher l’effacement d’un certain secteur du disque ou bien le remplacer par un code malveillant à l’amorçage du système. « Un autre danger tient au fait qu’une fois le disque dur infecté par ce code malveillant, il devient impossible d’analyser son firmware. En termes simples, les disques durs comportent pour la plupart des fonctions permettant d’écrire dans le firmware matériel mais aucune pour vérifier l’écriture, de sorte que nous sommes pratiquement aveugles et incapables de détecter les disques durs infectés par ce malware », avertit Costin Raiu, Directeur de l’équipe GReAT. A noter que l’attaque de disque dur n’est pas une nouveauté comme l’annonce Kaspersky. Snowden en avait déjà fait la preuve via des documents volés à ses anciens employeurs, la NSA.

2.       La capacité de créer une zone invisible et persistante à l’intérieur du disque dur. Celle-ci sert à enregistrer des informations qui pourront être exfiltrées ultérieurement par les auteurs de l’attaque. En outre, dans certains cas, elle peut aussi aider le groupe à percer le cryptage : « Etant donné que l’implant GrayFish est actif dès le début de l’amorçage du système, il permet de capturer la clé de cryptage et de l’enregistrer dans la zone cachée », explique Costin Raiu.

Capacité de récupérer des données sur des réseaux isolés
Parmi toutes les attaques lancées par Equation Group, le ver Fanny se démarque. Il a pour but principal de cartographier les réseaux isolés, c’est-à-dire de déterminer la topologie d’un réseau inaccessible par Internet et d’y exécuter des commandes. Pour ce faire, il utilise un mécanisme unique de commande et contrôle (C&C) sur une clé USB, permettant aux auteurs de l’attaque de faire entrer et sortir des données sur les réseaux isolés.

En particulier, une clé USB infectée avec une zone de stockage cachée a été employée pour recueillir des informations système de base sur un ordinateur non connecté à Internet et les transmettre à un serveur C&C dès que la clé est insérée dans une autre machine infectée par Fanny et disposant d’une connexion Internet. Pour exécuter des commandes sur un réseau isolé, il suffit de les enregistrer dans la zone cachée de la clé. Lorsque cette dernière est introduite dans un ordinateur du réseau, Fanny reconnaît les commandes et les exécute.

Méthodes classiques d’espionnage pour la diffusion des malwares
Les auteurs des attaques ont utilisé des méthodes universelles pour infecter les cibles, que ce soit via le Web ou dans le monde physique. A cette fin, ils ont intercepté des produits physiques pour leur substituer des versions contaminées par des chevaux de Troie. Cette technique a été employée, par exemple, pour cibler les participants d’une conférence scientifique à Houston (Texas) : à leur retour chez eux, certains des participants ont reçu un compte rendu de la conférence sur un CD-ROM qui a ensuite servi à installer l’implant DoubleFantasy sur la machine cible. La méthode exacte de falsification des CD reste inconnue.

Il existe de solides indices d’interactions d’Equation Group avec d’autres groupes puissants, tels que les opérateurs des campagnes Stuxnet et Flame, généralement en position de supériorité. Equation Group a ainsi eu accès à des failles « zero day » avant qu’elles ne soient exploitées par Stuxnet et Flame. A un moment donné, il a également partagé des exploitations de vulnérabilités avec d’autres. Par exemple, en 2008, Fanny a utilisé deux failles « zero day » qui ont été par la suite exploitées dans Stuxnet en juin 2009 et mars 2010. Pour l’une d’elles, Stuxnet reprenait en fait un module Flame exploitant la même vulnérabilité et passé directement d’une plate-forme à l’autre.

Equation Group utilise une vaste infrastructure C&C qui comprend plus de 300 domaines et 100 serveurs. Les serveurs sont hébergés dans de nombreux pays (Etats-Unis, Royaume-Uni, Italie, Allemagne, Pays-Bas, Panama, Costa Rica, Malaisie, Colombie et République tchèque, notamment). Kaspersky surveillerait  actuellement plus d’une vingtaine de serveurs C&C (autant dire que les pirates derrières ces centres de commande n’ont plus qu’à changer d’espace, ndlr). Depuis 2001, Equation Group aurait infecté des milliers voire des dizaines de milliers de victimes dans plus d’une trentaine de pays à travers le monde, appartenant aux secteurs ou milieux suivants : administrations et missions diplomatiques, télécommunications, aéronautique, énergie, recherche nucléaire, pétrole et gaz, défense, nanotechnologies, militants et érudits islamiques, médias, transports, établissements financiers ou encore développeurs de technologies de cryptage. Sept exploits utilisés par l’Equation Group dans ses malwares, dont au moins 4 comme « zero day » (ils ne sont donc plus inconnus, ndlr). En outre, des failles inconnues, peut-être « zero day », ont été exploitées contre Firefox 17, tout comme dans le navigateur Tor.

Pendant la phase d’infection, le groupe a la capacité d’exploiter dix vulnérabilités en chaîne. Cependant, les experts n’en ont constaté pas plus de 3 à la suite : si la première échoue, une deuxième est essayée, puis une troisième. En cas de triple échec, le système n’est pas infecté. Ce qui est assez étonnant car ZATAZ.COM a pu constater des « HQ » malveillants exploitant l’intégralité des failles, exploits disponibles au moment de l’attaque lancée par ce type d’outil.