Archives par mot-clé : ransomware.

Cybersécurité, loi

L’AUSTRALIE REVISE SA STRATÉGIE CYBERSÉCURITÉ SANS INTERDIRE LES PAIEMENTS DE RANÇONS

Le gouvernement australien a choisi de ne pas interdire les paiements de rançon dans le cadre de sa nouvelle stratégie nationale de cybersécurité, contrairement à ce qui avait été initialement envisagé.

Annoncée il y a quelques jours, la nouvelle stratégie de l’Australie face aux rançongiciels met l’accent sur une obligation de déclaration obligatoire des incidents de ransomware. L’idée, tout comme en France ou encore aux USA, alerter les autorités et ne rien cacher des infiltrations liées à une cyberattaque, dont les ransomwares. Bilan, le gouvernement australien ne souhaite plus interdire le paiement de rançon, mais contrôler au mieux.

Cette révision stratégique, dévoilée presque un an après que la ministre de l’Intérieur et de la Cybersécurité, Clare O’Neil, ait proposé de criminaliser les paiements de rançon, fait suite à plusieurs incidents majeurs affectant des entreprises australiennes. Dotée d’un budget de 587 millions de dollars australiens sur sept ans, soit plus de 350 millions d’euros, cette stratégie vise à atténuer l’impact des ransomwares, estimé à 3 milliards de dollars australiens de dommages annuels [1,8 milliard d’euros] pour l’économie du pays.

Le gouvernement australien va donc introduire une obligation pour les entreprises de signaler les attaques de ransomware. Cette mesure vise à combler le manque d’informations sur l’impact réel de ces incidents sur l’économie nationale. Le gouvernement envisage de partager des rapports anonymisés sur les tendances des ransomwares et de la cyberextorsion avec l’industrie et la communauté pour renforcer la résilience nationale contre la cybercriminalité.

L’attaque contre Medibank, l’un des plus grands fournisseurs d’assurance maladie du pays, est l’un des incidents les plus médiatisés, ayant abouti à la publication en ligne de données sensibles sur environ 480 000 personnes. O’Neil a exprimé sa préférence pour une interdiction totale des paiements de rançon afin de saper le modèle économique des cybercriminels, mais a reconnu que ce n’était pas le bon moment pour une telle mesure. Le gouvernement reconsidérera cette possibilité dans deux ans. En réponse aux attaques, le gouvernement australien a lancé l’Opération Aquila, une collaboration entre la police fédérale australienne et l’agence nationale de cyber-intelligence, pour combattre la cybercriminalité en utilisant des capacités offensives.

Parallèlement, le projet REDSPICE bénéficiera d’un financement accru pour renforcer les cybercapacités offensives du pays. Ces capacités resteront confidentielles. L’Australie, comme de nombreux autres pays, s’est engagée à ne pas payer de rançons en cas d’attaque de ses réseaux. Une annonce faîte, en novembre 2023, lors de la réunion spéciale « Ransomware » organisée par la Maison Blanche.

Cybersécurité, Justice, loi, Securite informatique

Ransomware : partage d’informations et suivi des paiements

Une coalition mondiale de dirigeants gouvernementaux en matière de cybersécurité annoncent des efforts visant à renforcer le partage d’informations sur les menaces numériques et à s’attaquer aux paiements en cryptomonnaies des chantages numériques.

Lors de sa réunion à Washington, la Maison Blanche a décidé de mettre les bouchées doubles à l’encontre des rançongiciels et maîtres-chanteurs adeptes de ransomware. L’administration Biden a accueilli des responsables de 47 pays pour son Initiative internationale de lutte contre les ransomwares –  (International Counter Ransomware Initiative – CRI), au cours de laquelle les participants ont dévoilé un certain nombre d’actions.

La Maison Blanche a exhorté, ce 31 octobre, les gouvernements participants à prendre un engagement politique commun annonçant qu’ils ne paieraient pas de rançon aux cybercriminels. « Nous n’en sommes pas encore là, avec 50 pays, ce sera de la haute voltige« , a déclaré Anne Neuberger, conseillère adjointe à la sécurité nationale pour la cybersécurité et les technologies émergentes. Bref, une posture politique déjà prise en octobre 2021.

International Counter Ransomware Initiative

De son côté, le Conseil de sécurité nationale des États-Unis (NSC) exhorte les gouvernements de tous les pays participant à l’Initiative internationale de lutte contre les ransomwares (CRI) à publier une déclaration commune annonçant qu’ils ne paieront pas de rançon aux cybercriminels. La France, via l’ANSSI, l’Agence Nationale de Sécurité des Systèmes d’Information, a été l’une des premiéres structures à rappeler ce fait : ne payez pas !

Il faut dire aussi qu’il n’existe pas de norme mondiale sur la question suivante : Le paiement d’une rançon doit-il être effectué lors d’une cyberattaque ? Une plateforme de partage d’informations doit être mise en place « où les pays pourront s’engager à partager rapidement des informations après un incident majeur ». Une plate-forme gérée par les Émirats arabes unis.

L’argent des pirates, le nerfs de la guerre !

Les américains non jamais partagé auparavant des portefeuilles pirates, ni d’informations concernant les portefeuilles de la blockchain qui déplacent des fonds illicites liés aux ransomwares. D’ici peu, ces données seraient partagées avec les départements du Trésor du monde entier.

Le CRI a été lancé en 2021 avec 31 membres Australie, Brésil, Bulgarie, Canada, République tchèque, République dominicaine, Estonie, Union européenne, France, Allemagne, Inde, Irlande, Israël, Italie, Japon, Kenya, Lituanie, Mexique, Pays-Bas, Nouvelle-Zélande, Nigéria, Pologne, République de Corée, Roumanie, Singapour, Afrique du Sud, Suède, Suisse, Ukraine, Émirats arabes unis, Royaume-Uni et États-Unis) et en a ajouté d’autres à mesure que les ransomware gagnaient du terrain, comme le gouvernement du Costa Rica.

Le pays avait été paralysé après avoir refusé de payer une rançon de 20 millions de dollars aux pirates du groupe CONTI, le 16 avril 2022. L’expérience du Costa Rica montre que la politique peut également jouer un rôle dans la décision d’un gouvernement. Lors d’une comparution au Centre d’études stratégiques et internationales (CSIS) à la fin du mois de septembre, le président costaricien Rodrigo Chaves a déclaré que même si le paiement d’une rançon aurait nécessité une législation, il ne l’aurait pas fait même s’il en avait eu la possibilité.

A noter que cette demande de ne pas payer ne concerne que les Pays. Les paiements de rançons améliorent non seulement les capacités des groupes de cybercriminalité, mais qu’ils peuvent également financer d’autres actions malveillantes ou des Etats-nation aux intérêts criminels et/ou terroristes. Bien qu’aucun gouvernement national n’ait publiquement reconnu avoir payé une rançon, rien n’empêche de penser que certains ont payé le silence des pirates, comme ont pu le faire des milliers d’entreprises privées de part le monde.

cyberattaque, Entreprise

Les sauvegardes, une source lucrative pour les cybercriminels

Les ransomwares se sont avérés être une source lucrative pour les cybercriminels, avec des sauvegardes souvent insuffisamment protégées pour éviter les dommages ou le versement d’une rançon. De plus, le paiement ne garantit pas toujours une récupération réussie des données.

D’après une enquête menée par Veeam et présentée dans le Ransomware Trends Report, 40% des entreprises mondiales adoptent une politique de non-paiement en cas d’attaque de ransomware. Cependant, plus de 80% finissent par payer la rançon demandée par les pirates informatiques suite à une attaque. L’étude a interrogé environ 1 200 organisations et analysé 3 000 cyberattaques survenues l’année dernière.

L’enquête a révélé des informations précieuses sur la récupération après une attaque de ransomware. Dans 59% des cas, l’entreprise concernée a pu récupérer ses données après avoir payé la rançon. Dans 4% des cas, aucune rançon n’a été exigée. Par ailleurs, 16% des entreprises ont réussi à récupérer leurs données cryptées sans payer de rançon.

Cependant, 21% des organisations qui ont payé une rançon n’ont pas réussi à récupérer leurs données. Selon Veeam, cela inclut des situations où la clé de déchiffrement n’a pas été fournie ou ne fonctionnait pas.

Une attaque paralyse également les applications

Il est important de noter que la récupération des données ou l’empêchement de leur propagation ne résout pas l’intégralité du problème. Souvent, une attaque paralyse également les applications et les services numériques, nécessitant des réparations approfondies et une meilleure mise en place de la sécurité après l’attaque.

Par exemple, après l’attaque par ransomware de décembre dernier, la ville d’Anvers n’a pu restaurer ses principaux services numériques qu’un mois et demi plus tard, et six mois après l’attaque, tout n’était toujours pas rétabli. L’administration communale a admis cette semaine à Data News que de nombreux processus étaient complexes et nécessitaient une révision pour prévenir de futures attaques.

Veeam a également souligné que dans 93% des attaques, les cybercriminels tentent également de compromettre les sauvegardes, rendant la récupération des données plus difficile sans payer de rançon. Dans 75% des cas, les criminels ont réussi à entraver la récupération des données. L’entreprise recommande donc d’utiliser des sauvegardes inaltérables et d’intégrer des ‘air gaps’ (trous d’air) pour séparer la sauvegarde d’Internet et la protéger contre les attaques de ransomware.

Assurance en cybersécurité

L’impact du succès des ransomwares se fait également sentir dans le secteur de l’assurance en cybersécurité. 21% des répondants à l’enquête ont indiqué que leur assurance n’incluait pas le risque de ransomware. Trois quarts des participants ont constaté une augmentation de leur prime d’assurance l’année dernière, 43% ont fait état d’exigences accrues de la part de l’assureur, tandis que 10% ont déclaré être moins couverts qu’auparavant.

Cette tendance souligne l’importance de mettre en place des mesures de sécurité robustes pour protéger les données et les systèmes d’information contre les attaques de ransomware. Les entreprises doivent également se préparer à faire face à des augmentations de primes d’assurance en cybersécurité et à des exigences plus strictes de la part des assureurs, car le risque de cyberattaques continue de croître.

En conclusion, bien que le paiement d’une rançon puisse parfois permettre de récupérer des données, les entreprises doivent prendre conscience que cela ne garantit pas une récupération complète et peut également encourager davantage d’activités criminelles. Par conséquent, des mesures préventives, telles que l’amélioration de la sécurité des sauvegardes et le renforcement de la protection contre les ransomwares, doivent être prioritaires pour les organisations.

Chiffrement, cyberattaque

Ransomware : 4 entreprises sur 10 ne récupèrent pas toutes leurs données

Plus de 4 entreprises sur 10 ne récupèrent pas toutes leurs données après le versement d’une rançon. Plus d’un tiers des entreprises ayant payé une rançon ont été visées une seconde fois par des cybercriminels.

En complément de son Rapport 2022 sur la gestion des cyber risques, Hiscox, assureur spécialiste de la protection cyber pour les petites et moyennes entreprises, a dévoilé un nouveau focus dédié aux ransomwares. Pour rappel, le business des assurances cyber s’est vue renforcée, en décembre, avec la possibilité pour les entreprises impactées par un ransomware (ou une cyber attaque) d’être remboursée par leur assureur. L’assureur Hiscox met en évidence les limites du paiement des rançons par les entreprises : 59% des entreprises ayant payé une rançon à des cybercriminels n’ont pas réussi à récupérer toutes leurs données.

Les statistiques montrent que le paiement des rançons ne résout pas tous les problèmes. Il n’est, par exemple, souvent pas possible de restaurer pleinement son système informatique ou d’éviter une fuite des données. Le rapport montre qu’il est plus efficace d’investir dans la mise en œuvre d’une cyber défense solide – en maintenant les logiciels à jours, en organisant des formations internes régulières, en sauvegardant fréquemment ses données – ainsi que dans la préparation d’une réponse appropriée en cas d’attaque, plutôt que de payer systématiquement les cybercriminels.

Un chiffre est particulièrement éloquent : plus d’un quart (26%) des entreprises qui ont payé une rançon dans l’espoir de récupérer leurs données l’ont fait parce qu’elles n’avaient pas de sauvegardes.

Outre la perte de données, une part significative des entreprises ayant payé les rançons a été confrontée à d’autres problèmes :
43 % ont dû reconstruire leurs systèmes, alors même qu’elles avaient reçu la clé de déchiffrement
36 % ont subi une autre attaque par la suite
29 % ont vu leurs données divulguées
Dans 19 % des cas, le pirate a ensuite exigé plus d’argent
Dans 15 % des cas, la clé de déchiffrement n’a pas fonctionné
Plus d’un quart (26 %) a estimé que l’attaque avait eu un impact financier important, menaçant la solvabilité et la viabilité de leur entreprise.

Cybersécurité, Entreprise, Mise à jour

70% des cyber-incidents dus à l’hameçonnage et aux vulnérabilités logicielles

Un rapport sur la réponses aux incidents révèle les tendances et les implications futures et propose des recommandations basées sur les données recueillies au cours d’une année entière d’enquêtes. 7 cas sur 10 de cyber attaques dus à l’hameçonnage et aux vulnérabilités logicielles.

Selon un nouveau rapport de Palo Alto Networks, l’utilisation intensive des vulnérabilités logicielles est le reflet du comportement opportuniste des acteurs de la menace, qui écument l’Internet à la recherche de failles et de points faibles à exploiter. Le rapport 2022 des équipes de l’Unit 42 offre un très large éventail d’informations extraites du travail sur la réponse aux incidents. S’appuyant sur un échantillon de plus de 600 cas de réponse aux incidents étudiés, le rapport a pour but d’aider les RSSI et les équipes de sécurité à comprendre les principaux risques de sécurité auxquels ils sont confrontés, et à déterminer les domaines auxquels affecter en priorité des ressources pour limiter ces risques.

Dans ce rapport, les secteurs de la finance et de l’immobilier figuraient parmi ceux qui recevaient les montants moyens de demandes de rançon les plus élevés : en moyenne, environ 8 millions et 5,2 millions de dollars, respectivement. Dans l’ensemble, les ransomware et la compromission des emails professionnels (BEC) ont été les deux principaux types d’incidents que l’équipe de réponse aux incidents a dû gérer au cours des 12 derniers mois. Ils représentent environ 70 % des cas de réponse aux incidents.

« A l’heure actuelle, la cybercriminalité est une activité dans laquelle il est facile de se lancer, en raison de son faible coût et de sa rentabilité souvent élevée. Dans ce contexte, des acteurs de la menace novices et non qualifiés peuvent très bien se lancer grâce à des outils tels que le hacking-as-a-service (piratage en tant que service), qui connaissent une popularité grandissante et sont disponibles sur le dark web, explique Wendi Whitmore, responsable de l’Unit 42. Les auteurs des attaques par ransomware ont en outre perfectionné leur organisation, en proposant un service client et des enquêtes de satisfaction lorsqu’ils interagissent avec les cybercriminels et les organisations victimes. »

Ransomware

Le nom d’une nouvelle victime des ransomware est publié sur les sites de fuite toutes les quatre heures. Il est vital pour les entreprises d’identifier très tôt l’activité des ransomwares. En général, les acteurs des ransomwares ne sont découverts qu’après le chiffrement des fichiers, l’entreprise victime recevant alors une demande de paiement de rançon. L’Unit 42 a constaté que le temps d’infiltration médian – c’est-à-dire le temps que les acteurs de la menace passent dans l’environnement ciblé avant d’être détectés – observé pour les attaques par ransomware était de 28 jours. Les demandes de rançon ont atteint jusqu’à 30 millions de dollars et le montant record des paiements effectivement réalisés par les victimes est de 8 millions de dollars, soit une augmentation constante par rapport aux conclusions du rapport 2022 de l’Unit 42 sur les ransomware. De plus en plus souvent, les entreprises touchées peuvent également s’attendre à ce que les acteurs de la menace utilisent la double extorsion, en menaçant de diffuser publiquement leurs informations sensibles si elles refusent de payer la rançon.

BEC (Compromission des emails professionnels)

Les cybercriminels ont utilisé toute une variété de techniques pour compromettre les emails des entreprises dans le cadre de fraude par courrier et de fraude électronique. Les formes d’ingénierie sociale, telles que le hameçonnage, sont un moyen facile et rentable de se procurer un accès secret, avec un faible risque d’être détecté. Selon le rapport, dans de nombreux cas, les cybercriminels se contentent de demander à leurs cibles involontaires de leur communiquer leurs informations d’identification, ce qu’elles font. Une fois l’accès obtenu, la durée médiane d’infiltration des attaques de type BEC est de 38 jours, et le montant moyen dérobé est de 286 000 dollars.

Les secteurs touchés

Les attaquants ciblent les secteurs d’activité lucratifs. Néanmoins, de nombreux attaquants sont des opportunistes et scrutent tout simplement l’Internet à la recherche de systèmes leur permettant d’exploiter des vulnérabilités connues. L’Unit 42 a identifié les secteurs les plus touchés parmi ses cas de réponse aux incidents : finance, services professionnels et juridiques, fabrication, soins de santé, haute technologie, commerce de gros et de détail. Les organisations de ces secteurs stockent, transmettent et traitent de gros volumes d’informations sensibles et monnayables qui attirent les acteurs de la menace.

Chiffrement, Cybersécurité

Ransomware : la rançon moyenne est de 925 162 dollars

Le montant moyen des paiements de rançons suit à une cyberattaque approche rapidement le million de dollars alors que la crise des rançongiciels continue de faire des ravages dans les organisations de toutes tailles à travers le monde.

Les rançons ne cessent d’augmenter à la fois en ce qui concerne les demandes que les paiements. Parmi les cas de réponse aux incidents en 2021, qui se trouvaient principalement aux États-Unis, la rançon moyenne demandée était d’environ 2,2 millions de dollars. Cela représente une augmentation d’environ 144 % par rapport à la demande moyenne de 900 000 $ des cas traités en 2020 par les consultants de l’Unit 42. Le paiement moyen des dossiers traités par les experts de l’Unit 42 ont grimpé à 541 010 $, soit 78 % de plus que l’année précédente.

Il semble que personne ne soit à l’abri des attaques de ransomwares comme le montre le blog ZATAZ. Les organisations dans presque tous les pays et secteurs ont été ciblées en 2021. L’analyse des sites de fuite de ransomwares a identifié la région des Amériques comme la plus touchée – 60 % des victimes recensées sont identifiés dans cette région, tandis que 31 % des victimes sont attribuées à l’Europe, au Moyen-Orient et à l’Afrique (EMEA) et 9% à l’Asie-Pacifique. Les services professionnels et juridiques, suivis de la construction, ont été les secteurs les plus ciblés, avec respectivement 1 100 et 600 victimes recensées sur les sites de fuite.

Les effets à long terme d’une attaque par rançongiciel peuvent représenter un défi pour les organisations. Parmi les entreprises touchées par les ransomwares, une majorité (58 %) des décideurs informatiques déclarent que leur l’organisation a payé la rançon, 14 % déclarant que leur organisation a payé plus d’une fois. Sans parler de celle qui ne souhaite pas que cela se sache et son prêt à menacer les lanceurs d’alertes.

Le rapport indique que, bien que 41 % des entreprises touchées par une attaque par ransomware aient pu récupérer en moins d’un mois, 58% ont pris plus d’un mois. 29% des entreprises interrogées attaquées par des ransomwares ont pris plus de trois mois, et 9 % ont dit qu’il leur a fallu plus de cinq à six mois pour revenir à la normale.

Les tactiques employées par ces cybercriminels reflètent la sophistication croissante et maturité du paysage des rançongiciels.

Multi-extorsion en hausse

Techniques de multi-extorsion où non seulement les attaquants chiffrent les dossiers d’une organisation, mais pratiquent aussi le « name and shame » (chantage aux victimes et/ou menacer de lancer d’autres attaques (par exemple, l’attaque DDoS) pour inciter les victimes à payer plus rapidement. En 2021, les noms et preuve de compromis pour 2 566 victimes ont été affichés publiquement sur sites de fuite de ransomware, marquant une augmentation de 85% par rapport à 2020.
​​​​
La prolifération des RaaS (Ransomware as a Services) avec la mise à disposition de « kits » et services de soutien aux cybercriminels qui réduisent leurs barrières techniques et leur permettent d’accélérer et multiplier leurs attaques.

Les principaux gangs de rançongiciels ont rapidement exploité la vulnérabilité CVE-2021-44228, communément appelée Log4Shell.

Il est fort probable que tant que les organisations ne parviendront pas à appliquer les correctifs connus pour ces vulnérabilités critiques, les attaquants continueront à les exploiter à leur avantage.

cyberattaque

Payer la rançon : le meilleur moyen d’être attaqué une seconde fois…

Les résultats d’une étude mondiale sur le ransomware menée en avril 2021 auprès de 1263 professionnels de la sécurité (aux États-Unis, en Allemagne, Espagne, Royaume-Uni, à Singapour et aux Émirats Arabes Unis, et comptant 150 professionnels français) affiche que la moitié des organisations interrogées au niveau mondial ont été victimes d’un ransomware lors des deux dernières années. L’étude démontre surtout que payer la rançon n’est pas la meilleure voie à suivre.

Dans la très grande majorité des cas, les entreprises ayant payé ont été attaquées une seconde fois : c’est le cas pour 60% des entreprises en France et 80% dans le monde.

Dans de nombreux cas les données ont tout de même été compromises, malgré le paiement : 53% des entreprises françaises estiment que leurs données ont été compromises, et sont donc toujours exposées, malgré le paiement de la rançon (45% au niveau mondial).

« Le paiement d’une rançon ne garantit en effet pas une reprise réussie. Et surtout cela ne fait qu’exacerber le problème en encourageant de nouvelles attaques. Il faut encourager les entreprises à prendre les devants sur la menace en sensibilisant et en s’équipant en solutions de sécurité axée sur la prévention » déclare Lior Div, directeur général et cofondateur de Cybereason.

Autre élément d’intérêt : les 3 pays (de l’étude) les plus ciblés par les ransomwares sont aussi ceux qui payent le moins les rançons !

Avec 70% d’entreprises ciblées au cours des 24 derniers mois, la France est bien plus ciblée par les ransomwares que les États-Unis par exemple, où environ 30% des entreprises ont dû affronter ces acteurs malveillants. L’Espagne (72%) et l’Allemagne (70%) sont les deux autres nations analysées dans le cadre de l’étude ayant été les plus ciblées.

En revanche, contrairement aux idées reçues, les pays les plus ciblés ne sont pas forcément ceux qui payent le plus : plus de 80% des entreprises américaines ont déclaré avoir accepté de payer la rançon, plus de 73% au Royaume-Uni, alors qu’elles sont moins de 50% en France (environ 43% en Espagne et 40% en Allemagne).

Les entreprises subissent des conséquences sur le long terme

  • 39% des organisations françaises ont fait état d’une perte significative de revenus à la suite d’une attaque par ransomware. Elles sont 44% au niveau mondial.
  • En France, 19% des organisations ont déclaré la démission de cadres dirigeants suite à une attaque (45% au Royaume-Unis et 50% aux Émirats arabes unis)
  • Pire, 22% des entreprises attaquées par rançongiciel ont été contraintes de cesser leur activité (c’est environ 26% au niveau mondial).

Le rapport complet mis à disposition de la presse par Cybereason révèle également dans quelles mesures les pertes subies par l’entreprise peuvent être couvertes par une cyberassurance, dans quelles mesures les organisations sont préparées à faire face aux menaces de ransomware avec des politiques de sécurité et des ressources adaptées, et des informations plus détaillées sur l’impact des attaques par ransomware par région, taille d’entreprise et secteur vertical.

En outre, le rapport fournit des données exploitables sur les types de solutions de sécurité que les organisations avaient en place avant une attaque, ainsi que sur les solutions les plus souvent mises en œuvre par les organisations après avoir subi une attaque par ransomware.

Hacking

Que faire pour éviter « l’après-ransomware » ?

Retenez une chose, pendant l’attaque, pendant qu’ils sont en train de chiffrer tous vos fichiers, les pirates continuent  leur travail. Dans de plus en plus de cas aujourd’hui, l’activité principale d’une attaque de ransomware se passe avant et après l’attaque.

Les pirates ne se contentent pas de juste infiltrer votre machine, ils analysent ensuite tous vos documents volés. Lorsqu’on parle de ransomware aujourd’hui, il ne s’agit plus du simple chiffrement des informations, il s’agit d’un accès pour ensuite tout autoriser. Les opérateurs de ransomwares  sont devenus maître de votre machine et ils comptent bien vous faire chanter.

Comme le rappelle IS Decisions, il y a un état d’esprit marketing flagrant face à la malveillance mise en place. La première étape consiste à prendre en otages les machines et les fichiers par chiffrement puis à vous demander de payer le déchiffrement de ces fichiers.

La deuxième étape consiste à menacer de divulguer les informations volées pour alerter les autorités. Avec les réglementations de type RGPD et la possibilité de lourdes amendes pour non-divulgation d’attaques, cette deuxième étape est de plus en plus courante.

La troisième étape consiste à vendre aux enchères les données volées pour les entreprises qui n’ont pas payé aux deux premières tentatives de chantage.

Comment se protéger ? La sécurité informatique à 100% n’existe malheureusement pas. C’est pourquoi il faut être organisé à l’avance afin d’être prêt pour le jour où ce genre de catastrophe se produit. Que faut-il faire ? Que ne faut-il surtout pas faire ? Il faut mettre en place des mesures préventives et proactives clés afin de fournir des couches supplémentaires de défense contre les attaques de ransomwares.

A découvrir ici.

Chiffrement, Cybersécurité

La menace cyber la plus présente pour les MSP

Les rançongiciels, la menace cyber la plus présente pour les PME. Les décideurs MSP qui gèrent les systèmes informatiques des petites et moyennes entreprises face à un danger très présent.

Un ransomware (ou rançongiciel en français) est un logiciel informatique malveillant qui prend en otage les données et/ou fichiers. Ce logiciel chiffre et bloque les fichiers que contiennent un ordinateur et demande une rançon en échange d’une clé qui permet de les déchiffrer.

Les PME, une cible de choix pour les pirates informatiques

En général, les grandes entreprises ont des systèmes de sécurité plus avancés, alors que les petites entreprises n’ont pas les moyens et les ressources pour sérieusement sécuriser leur parc informatique. Et les hackers l’ont bien compris.

Le nombre d’attaques de rançongiciels contre les PME est en augmentation. Quatre-vingt-cinq pour cent des MSP ont signalé des attaques contre des PME en 2019, contre 79 pour cent des MSP qui ont signalé la même chose en 2018.

De plus, il existe une réelle déconnexion sur l’importance des ransomwares en tant que menace. 89% des MSP indiquent que les PME devraient être très préoccupées par la menace des ransomwares. Cependant, seulement 28% des MSP déclarent que les PME sont très préoccupées par la menace.

Les MSP également dans le viseur

Les MSP sont également une cible privilégiée des attaques de ransomwares. Quatre MSP sur cinq déclarent être de plus en plus ciblés par des attaquants.

Cependant, seulement la moitié des MSP ont une expertise externe disponible pour les aider en cas d’attaque à grande échelle contre eux ou leurs clients.

«Les MSP doivent donner le ton à leurs clients PME lorsqu’il s’agit de se préparer et de répondre aux attaques de ransomwares», a déclaré Ryan Weeks, directeur de la sécurité de l’information chez Datto.

Comment s’en protéger ?

Il existe de nombreuses recommandations pour diminuer le risque d’attaque telles que former les employés aux risques de cybersécurité, mettre à jour les systèmes, renforcer les politiques de mots de passe etc. Cependant, et surtout en sécurité informatique, le risque zéro n’existe pas.

Il existe trois scenarios de défense pour ce type d’attaque :

  • Atténuation des risques: Il s’agit de mettre en place des solutions pour diminuer le risque d’attaque. L’authentification multifacteur est l’un des contrôles les plus efficaces pour se protéger contre les accès non autorisés.
  • Préparation d’un processus de récupération: Ici, il s’agit de se préparer en cas d’attaque et de réagir après l’attaque. Il ne faut surtout pas payer la rançon car vous n’êtes pas sûrs de récupérer vos données. Votre plus belle arme est d’effectuer une sauvegarde régulière de vos données afin de s’assurer de récupérer l’intégralité de vos données.
  • Détection et approche proactive: Cette approche consiste à détecter et arrêter l’attaque avant que tout dommage ne soit causé. Si vous avez en place un système pour détecter les attaques de ransomware, vous pouvez y mettre un stop avant le chiffrement de vos données.

En savoir plus…

Pour en savoir plus sur ce sujet, n’hésitez pas à vous inscrire gratuitement à la conférence en ligne organisée par BeMSP puis à participer à la session animée par FileAudit le 7 juillet à 14h30 : « Sécuriser simplement les PME contre les activités malveillantes en mode MSP ».

Intervenants :

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, ransomware, Securite informatique

Des experts en sécurité paient les ransomwares et facturent leurs clients

Des experts en sécurité informatique annonçaient posséder une technologie pour déchiffrer le ransomware SamSam. Il s’avère qu’ils payaient les maîtres chanteurs pour récupérer les fichiers. Ils facturaient ensuite les clients piégés.

Deux entreprises spécialisées dans la sécurité informatique annonçaient posséder une technologie capable de déchiffrer les fichiers pris en otage par le ransomware SamSam.

Il s’avère que ces experts de la cybersécurité payaient les auteurs du rançonnage. Les sociétés facturaient ensuite les clients piégés.

C’est ProPublica qui a mené une enquête sur ce phénomène. Les entreprises, Proven Data Recovery et MonsterCloud, annonçaient être capable de déchiffrer les fichiers pris en otage par le ransomwate SamSam.

Samsam, une attaque informatique qui avait perturbé le port de San Diego ou encore les ville d’Atlanta (11 millions de dollars), de Newark, des hôpitaux (dont celui d’Epinal en France) … Au USA, le Hollywood Presbyterian Medical Center avait avoué avoir payé pour récupérer ses données.

SamSam (MSIL/Samas) s’attaque aux serveurs  JBoss obsolète. Pour déchiffrer une machine, cela coute 1.7 Bitcoin (BTC). Samsam aurait été créé par deux pirates Iraniens.

Payer pour mieux déchiffrer ?

De nombreuses sociétés agissent de la sorte, l’indiquent à leurs clients. Elles agissent de la sorte par facilité et permettre de retrouver les données ! Pour MonsterCloud et Proven Data Recovery, c’est différent. Elles affirmaient avoir la technologie pour déchiffrer les informations prises en otage. Proven Data Recovery indique que cela était nécessaire, quand par exemple la santé/vie de patients pouvaient être mis en danger.

Comme l’indiquait en mars 2019 l’ANSSI, SamSam cible des entreprises estimées très rentables, appartenant à des secteurs d’activités variés, ainsi que des entités publiques à même de payer un montant conséquent en guise de rançon.

Les deux pirates Iraniens ne peuvent plus être payés par bitcoin, du moins via une entreprise américaine. L’Oncle Sam a mis sous embargo le moindre commerce avec ce pays et des entreprises américaines ou basées aux USA, faisant commerce avec les Etats-Unis. Bilan, plus possible de payer !

backdoor, Chiffrement, Communiqué de presse, cryptage, Hacking, Securite informatique, Social engineering

les logiciels malveillants dédiés aux cryptomonnaies touchent 10 fois plus d’entreprises que les ransomwares

Les extracteurs de cryptomonnaie touchent 10 fois plus d’entreprises que les logiciels rançonneurs. Le Rapport Sécurité 2019 de Check Point révèle pourtant que seul 1 professionnel de l’informatique sur 5 anticipe les infections.

La seconde partie de son Rapport Sécurité 2019 souligne combien les outils et les services utilisés pour mener des activités cybercriminelles se sont démocratisés. Non seulement les méthodes d’attaque se sont perfectionnées mais elles sont désormais accessibles à toute personne disposée à en payer le prix, et c’est précisément rendu possible grâce au marché en plein essor des logiciels malveillants sous forme de service.

Cette seconde partie du rapport révèle les principales tendances en matière de cyberattaques observées en 2018, et pointe du doigt la croissance significative du nombre d’attaques furtives et complexes conçues pour échapper aux équipes de sécurité des entreprises. Il précise également les types de cyberattaques que les équipes informatiques et de sécurité des entreprises considèrent comme représentant la plus grande menace pour eux.

Les éléments clés du rapport

  • Les extracteurs de cryptomonnaie s’activent sur les réseaux sans être détectés : Les extracteurs de cryptomonnaie ont infecté 10 fois plus d’entreprises que les logiciels malveillants en 2018, mais seulement un professionnel de la sécurité informatique sur cinq a été en mesure de détecter une infection sur son réseau. 37 % des entreprises dans le monde ont été touchées par des extracteurs de cryptomonnaie en 2018. 20 % des entreprises continuent d’être touchées par ce phénomène chaque semaine, malgré une baisse de 80 % de la valeur des cryptomonnaies.
  • Les risques présentés par les extracteurs de cryptomonnaie sont sous-estimés par les entreprises : Lorsque CP a demandé aux entreprises quelles étaient les menaces les plus importantes pour leur entreprise, 16 % seulement des professionnels de l’informatique ont cité les extracteurs de cryptomonnaie, contre 34 % pour les attaques DDoS, 53 % pour les fuites de données, 54 % pour les logiciels rançonneurs et 66 % pour le phishing. C’est assez préoccupant, car les extracteurs de cryptomonnaie peuvent facilement servir de portes dérobées pour télécharger et activer d’autres types de logiciels malveillants. 
  • Les logiciels malveillants sous forme de service se développent : Le programme d’affiliation du logiciel malveillant sous forme de service GandCrab permet désormais à des amateurs de se lancer dans le business lucratif des logiciels rançonneurs. Ils conservent jusqu’à 60 % du montant des rançons perçues auprès des victimes et les développeurs en conservent jusqu’à 40 %. GandCrab compte plus de 80 affiliés actifs, et plus de 50 000 victimes ont été infectées en seulement deux mois en 2018, totalisant entre 300 000 et 600 000 dollars de rançons. 

« La seconde partie de notre Rapport Sécurité 2019 montre comment les cybercriminels s’intéressent à de nouvelles approches furtives et de nouveaux modèles commerciaux, tels que les programmes d’affiliation de logiciels malveillants, afin de maximiser leurs revenus illégaux tout en réduisant le risque d’être détectés. Même s’ils agissent à l’abri des regards on ne doit pas les oublier. Bien que discrètes, les cyberattaques de 2018 ont été nombreuses et préjudiciables, » déclare Thierry Karsenti, Vice-Président EMEA Sales Engineering de Check Point Software Technologies. « Grâce à notre rapport sécurité et aux analyses des évolutions récentes qu’il propose, les entreprises peuvent mieux appréhender les menaces auxquelles elles sont confrontées, et mieux anticiper pour qu’elles n’aient pas d’incidence sur leurs activités. »

Le Rapport Sécurité 2019 s’appuie sur des données provenant du plus grand réseau collaboratif de lutte contre la cybercriminalité, qui fournit des données sur les menaces et des tendances en matière d’attaques issues d’un réseau mondial de capteurs ; d’études effectuées par Check Point au cours des 12 derniers mois ; et d’une toute nouvelle enquête menée auprès de professionnels de l’informatique et de cadres supérieurs, qui évalue leur niveau de préparation face aux menaces actuelles. Le rapport examine les toutes dernières menaces émergentes dans différents secteurs d’activité, et fournit un aperçu complet sur les tendances observées dans le paysage des logiciels malveillants, des vecteurs de fuites de données émergents et des cyberattaques commanditées par des États.

backdoor, Base de données, Chiffrement, cryptomonnaie, Cybersécurité, Entreprise, Mise à jour, Patch, ransomware, Securite informatique

Matrix et les ransomwares ciblés : petites attaques mais grand danger

Dans sa dernière étude « SophosLabs 2019 – Rapport sur les menaces », l’éditeur annonce une recrudescence des attaques ciblées par des ransomwares. Le procédé utilisé est déjà bien connu, notamment l’attaque Matrix. Une cyberattaque ciblée de type agile qui ne cesse d’évoluer depuis sa découverte en 2016.

Des attaques moins sophistiquées que celles de SamSam, ne s’en prenant qu’à une seule machine à la fois, un ransomware tel que Matrix représente un véritable danger. Il a en effet développé de nouvelles variantes capables de scanner le réseau à la recherche de nouvelles victimes potentielles, une fois introduit dans le réseau.

Sophos, spécialiste de la sécurité, présente son nouveau rapport « Matrix: A Low-Key Targeted Ransomware », dans lequel il dévoile ses recommandations afin de garantir un niveau de protection optimal :

  • Limiter l’accès aux applications de contrôle à distance telles que Remote Desktop (RDP) et VNC.-
  • Réaliser des analyses complètes et régulières et des tests d’intrusion sur le réseau. Correction au plus vite afin de ne pas laisser la porte ouverte aux cybercriminels.
  • Mettre en place une authentification multi-facteurs pour les systèmes internes sensibles, que ce soit pour les employés travaillant en LAN ou en VPN.
    Créer des sauvegardes hors ligne et hors site, et développer un plan de reprise après attaque qui couvre la restauration des données et des systèmes pour toute l’organisation de façon simultanée.

Pour de plus amples informations sur le sujet, vous pouvez d’ores et déjà parcourir le rapport « Matrix: A Low-Key Targeted Ransomware ».

A noter que le contrôle du RDP est à prendre très au sérieux. Des boutiques du black market commercialisent des accès RDP piratés. Comme le révèle le site ZATAZ, du business juteux à l’image du portail Xdedic dont les trois administrateurs ont été arrêtés en Ukraine. Gain estimé par le FBI, 68 millions de dollars !

Banque, Bitcoin, Communiqué de presse, Cybersécurité, Securite informatique, Social engineering

Le minage de crypto-monnaies pirate dépasse les ransomwares

L’usage des ransomware a drastiquement chuté au profit du minage de crypto-monnaies. Pendant les trois premiers trimestres de l’année 2018, 5 millions d’utilisateurs ont été attaqués en ligne, par des mineurs de cryptomonnaie, contre 2,7 millions en 2017.  Les infections sont dues, en grande majorité, au téléchargement et à l’installation de logiciels sans licence, ce qui implique un ciblage des victimes plutôt orienté vers le grand public.

Le principe même de la criminalité, qu’il s’agisse du cyber ou du physique, repose sur l’appât du gain, la possibilité de gagner beaucoup d’argent, en très peu de temps. Pendant plusieurs années, le prix des crypto monnaies a été très élevé. Aujourd’hui, les cours sont fluctuants, voire  en chute libre depuis quelques semaines. Très vite, le minage de crypto monnaies ne sera plus rentable car les gains ne couvriront plus les investissements en temps. Ce sera particulièrement vrai si les criminels continuent de cibler les machines individuelles, plutôt que les grandes entreprises disposant de fortes puissances de calcul. En revanche, si les crypto monnaies continuent leur démocratisation, il faudra surveiller les plates-formes d’échange qui pourront devenir de véritables nids d’opportunités pour les criminels dans des opérations de phishing de leur client ou de piratage direct.

 L’extorsion de fonds à grande échelle

Ronan Mouchoux du GReAT explique : «  En mars 2010, la plate-forme pionnière d’échange de cryptomonnaies, BitcoinMarket, effectuait la toute première transaction financière entre bitcoin et monnaie fiduciaire. Un bitcoin échangé alors pour 0.003 dollar US. Huit ans plus tard, l’écosystème s’est développé, avec des milliers de nouvelles blockchains et des centaines de plates-formes de trading. Sur cette durée, au moins 31 piratées pour un montant de 1,3 milliard de dollars. Les détenteurs de crypto monnaies, les développeurs de blockchains et les plates-formes d’échange sont les trois cibles des cybercriminels. Rien qu’au deuxième trimestre 2018, plus de 2 millions de dollars extorqués à des possesseurs de crypto monnaies par phishing ou arnaque. En septembre dernier, l’une des principales plates-formes japonaises d’échange, Zaif, se faisait voler l’équivalent de 60 millions de dollars. »

 

 Investisseurs individuels vs. banques : une inégalité en matière de sécurité

Les crypto monnaies se démocratisent toujours davantage et sont désormais accessibles à la plupart des investisseurs. La tendance devrait encore se renforcer grâce à l’ouverture annoncée du marché directement via les buralistes en 2019. Il faut s’attendre à d’importantes tentatives d’exploitation de failles de sécurité. Les détenteurs de crypto monnaies, les développeurs de blockchain et les plates-formes d’échanges doivent impérativement accroître leur niveau de sécurité, encore beaucoup trop faible par rapport aux banques historiques et traditionnelles. Preuve en est, le plus gros casse bancaire de l’histoire se baptise Carbanak : l’attaque avait entrainé le vol de 1 milliard de dollars. Durant le premier semestre 2018 au Japon, près de 500 millions de dollars dérobés par piratage de plusieurs plateformes d’échanges de ce pays. De quoi attirer les cybercriminels, bien plus qu’avec le minage.

 Comment se protéger ?

Il est primordial pour les utilisateurs de choisir leur plate-forme en fonction de leur sécurité. Pour les plus gros détenteurs de cryptoactifs, on ne peut que recommander fortement d’investir dans un porte monnaies physique à la réputation éprouvée. Quant aux développeurs de blockchain et aux plates-formes d’échanges, ils doivent utiliser des solutions et recruter de véritables experts en cybersécurité. Tout ce qui est tendance sur un marché, l’est aussi pour la cybercriminalité. Bien entendu comme toute activité qui implique un accès en ligne, disposer d’appareils et de solutions à jour et ne pas installer de logiciels non certifiés font partie des recommandations basiques. (Rapport)

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Fuite de données, ransomware, Securite informatique

Observation de l’évolution des tactiques de diffusion des ransomwares

Il y a quatre ans de cela, les criminels envoyaient des mails à des millions d’adresses, diffusant des variantes de logiciels rançonneurs, via des liens infectés ou des documents Word, sans logique ou ciblage apparent. Aujourd’hui, les ransomware se professionnalisent !

Lorsque les logiciels rançonneurs ont commencé à chiffrer les ressources disponibles sur les réseaux, les entreprises ont commencé à y prêter un peu plus attention. Cette étape de l’évolution des logiciels rançonneurs a vu la méthode de diffusion éparpillée précédemment mentionnée se combiner au chiffrement de fichiers disponibles aussi bien sur le serveur local que sur les serveurs d’entreprise. Le chiffrement du serveur de fichiers d’une infrastructure ou de son système de stockage en réseau entraîne plus de dommages pour l’entreprise que le chiffrement d’un poste de travail individuel. Dans ce contexte, la hotline de notre équipe d’intervention a commencé à recevoir plus d’appels, au cours desquels les administrateurs informatiques des systèmes touchés par des logiciels rançonneurs ont commencé à se poser des questions très sérieuses sur les conséquences associées au paiement des rançons.

Cette tendance des ransomwares à chiffrer les partages réseau, et l’attention accrue qui en résulte, est probablement à l’origine des phases suivantes de leurs techniques de déploiement.

Frappes de précision : l’essor du protocole RDP (Remote Desktop Protocol)

En 2016, nous avons commencé à constater des infections massives de logiciels rançonneurs au cours desquelles plusieurs actifs essentiels de l’environnement des victimes étaient simultanément infectés, et avons donc constaté davantage d’interactions entre les agresseurs et leurs victimes (en raison de l’impact de leurs logiciels rançonneurs sur l’environnement des victimes). La communauté de sécurité s’est livrée à des enquêtes plus poussées qui ont confirmé ces soupçons : des cybercriminels utilisaient le protocole RDP, un protocole propriétaire conçu par Microsoft, pour fournir aux utilisateurs l’interface graphique d’un système distant, afin de s’introduire dans l’environnement des victimes.

Une fois en place, les agresseurs déployaient généralement des outils permettant de rechercher et d’exploiter des relations utilisateur/groupe/administrateur mal configurées ou non intentionnelles. Les paramètres Active Directory mal configurés ou non intentionnels sont les meilleurs alliés des cybercriminels, en leur permettant d’accéder aux privilèges de l’administrateur du domaine. Dès que le compte de ce dernier est compromis, les hackers ont la possibilité d’effectuer une reconnaissance du réseau pour identifier les actifs les plus critiques et les infecter.

Après avoir identifié les serveurs critiques et les systèmes de sauvegarde dans l’environnement, les hackers peuvent désormais utiliser les outils d’administration système intégrés à Windows pour déployer largement leurs logiciels rançonneurs.

A ce stade, les agresseurs n’essayaient donc plus d’envoyer un email à chaque personne présente sur le web. Avec le protocole RDP, ils savaient exactement qui et quoi cibler, en infectant simultanément des ressources critiques grâce à leur nouvel accès à l’environnement des victimes.

La prochaine étape des logiciels rançonneurs : les botnets

La tactique consistant à utiliser le RDP comme base initiale pour ces déploiements de logiciels rançonneurs en volume, interactifs, programmés ou manuels, était devenue si courante qu’elle faisait l’objet de nos premières questions lors de la prise en charge de nouveaux incidents. Cependant, pour les cas récents tels que le logiciel rançonneur Ryuk [1], nous assistons à une autre évolution des tactiques de diffusion. Lorsque nous enquêtons sur les victimes pour déterminer si elles sont exposées au niveau du RDP, nous pouvons constater que ce protocole n’est pas activé, ou que l’accès se fait via VPN. Dans cette mesure, il n’expose pas directement les victimes sur Internet.

Ces cas nécessitent des enquêtes plus approfondies. Dans plusieurs cas récents, nous découvrons des infections de bots corrélées à la chronologie des infections de logiciels rançonneurs.

Au cours du mois dernier, nous avons observé des infections de TrickBot, d’Emotet et d’AdvisorsBot qui correspondent parfaitement au moment du déploiement des logiciels rançonneurs. Ces infections par bots sont généralisées dans l’environnement des victimes, et tirent également parti des relations d’approbation mal configurées dans Active Directory pour se répandre latéralement. Cette tendance à l’utilisation des bots pour s’implanter ne fait qu’augmenter.

Dans ces cas, nous constatons que des e-mails de phishing contenant des documents Word malveillants sont le vecteur de diffusion des bots. Ces documents Word malveillants contiennent un contenu exécutable appelé macros. Lors de nos analyses des infections par TrickBot et AdvisorsBot relatives aux logiciels rançonneurs, nous constatons que les victimes ont ouvert le mail. Ouvert les documents joints. Permis aux macros de s’éxecuter.

À ce stade, le contenu exécutable dans les macros installe un bot ou contacte le serveur de commande et de contrôle du botnet pour obtenir du code malveillant supplémentaire, qui est finalement le véritable logiciel malveillant.

C’est une évolution des tactiques de déploiement des logiciels rançonneurs. La tendance observable de diffusion des ransomwares, allant de l’email de phishing opportuniste jusqu’à l’implantation et la reconnaissance via une configuration RDP compromise, se poursuit aujourd’hui par une implantation avancée au cœur du réseau grâce à des infections par bots qui se propagent latéralement.

En conclusion, la tendance d’implantation des bots pour propager des logiciels rançonneurs continuera à se développer. A l’avenir, différents bots seront utilisés simultanément. Mais le fait qu’ils offrent une persistance et facilitent le déploiement de logiciels malveillants supplémentaires en font un choix évident en matière d’implantation malveillante.

Conseil de l’équipe d’intervention Check Point

Au cours des différentes enquêtes, il a été découvert que la plupart des victimes avaient involontairement autorisé l’accès RDP au réseau depuis Internet en raison de la configuration des règles de sécurité sur le pare-feu, autorisant trop de ports ou configurant incorrectement l’IP/le masque réseau. La fonctionnalité « Packet Mode » de R80.10 [1] nous permet de vérifier rapidement si les ports RDP sont exposés sur Internet. Les règles de la blade Compliance (conformité) peuvent également être configurées pour émettre une alerte en cas d’exposition accidentelle de RDP. (Par l’équipe d’intervention de Check Point).

backdoor, Chiffrement, Cybersécurité, Securite informatique

Cryptojacking : la France sur le podium des pays les plus ciblés au 1er semestre 2018

Un nouveau rapport montre que les attaques par ransomware ont diminué au premier semestre 2018. La sécurité des systèmes et le renforcement des technologies antivirus expliquent cette baisse, obligeant les pirates à se tourner vers le spam et le cryptojacking.

Cryptojacking : la France sur le podium des pays les plus ciblés au premier semestre 2018 – Dans son nouveau rapport basé sur le premier semestre 2018, F-Secure observe d’importants changements en matière de cybermenaces. Les tendances évoluent sensiblement par rapport aux précédentes années. Toutefois, on constate un renforcement de la sécurité des systèmes et des technologies antivirus qui ont limité les menaces standards en les bloquant. Auparavant, les ransomware constituaient les cybermenaces les plus sérieuses pour les entreprises. Désormais, même si elles restent présentes elles ne dominent plus. Elles sont supplantées par le cryptojacking qui tire profit de la popularité des cryptomonnaies. Le pays le plus exposé reste les Etats-Unis mais la France est toujours une cible de choix pour les pirates tout comme les Pays-Bas, la République Tchèque, l’Italie et le Royaume-Uni.

Le rapport semestriel de F-Secure est basé sur l’observation des attaques réalisée via son réseau mondial de honeypots. La Russie, habituellement premier pays source d’attaques, a cédé la place au Royaume-Uni. Dans le top 5 des pays sources de menaces figure la Russie, l’Allemagne, les Etats-Unis et la Chine. La France se dresse au 6ème rang avec 7,1 millions d’attaques en provenance du pays. On note également que le nombre total de cyber attaques observées au niveau mondial a reculé par rapport aux deux semestres précédents.

Ralentissement des attaques au premier semestre 2018

De manière générale, il est constaté un réel ralentissement des attaques au premier semestre 2018 en raison de l’essoufflement de WannaCry. Ce programme malveillant reste l’une des principales sources d’infection même si en 2018 davantage de systèmes ont été mis à jour et les solutions de protection des postes de travail sont plus performantes. Ainsi, le nombre de dispositifs infectés et par conséquent le nombre de tentatives de connexion au premier semestre ont diminué via le port 445 qui reste le plus prisé. La majorité du trafic provient de campagnes d’attaques agressives en provenance du Royaume-Uni.

Côté pays ciblés, la France a présenté une activité significative en janvier en termes d’attaques avec une accalmie jusqu’à la mi-avril. Le pays reste une cible de choix pour les pirates et comptabilise 6,4 millions d’attaques observées, se situant au second rang du classement des pays ciblés par les cyberattaques. Les Etats-Unis restent le pays le plus ciblé. Toutefois, l’Allemagne, positionnée d’ordinaire dans le Top 5, a reculé à la 10ème place.

Alors que la Russie cible les Etats-Unis, le volume des cyber attaques russes a nettement diminué, tombant à 8 millions. A noter que la cible principale des attaques en provenance de la France est… la France, avec 2,8 millions d’attaques.

Le ransomware en recul

Les ransomware sont en net recul depuis le second semestre 2017. Ce déclin s’est poursuivi en 2018 même s’il reste une menace sérieuse. Ce recul peut également être attribué aux performances des antivirus, capables de bloquer efficacement les menaces standards répandues. Pour contourner ces mesures de protection, les pirates envoient des spams contenant des pièces jointes particulières : des macro-documents protégés par un mot de passe dévoilé dans le corps de l’e-mail.

Avec ce déclin, F-Secure constate l’émergence d’autres menaces. Pendant le premier semestre 2018, le cryptojacking et les arnaques à la romance sont venus occuper l’espace laissé vacant par les ransomwares. Le cryptojacking, ou l’utilisation non-autorisée de l’ordinateur d’une victime pour extraire de la cryptomonnaie a émergé à la mi-2017 et connaît une popularité croissante. Les objets connectés continuent eux-aussi de susciter l’intérêt des pirates en quête de bots.

Côté secteur d’activité, F-Secure remarque que le milieu bancaire a été particulièrement touché. La cybermenace bancaire la plus marquante au premier semestre 2018 a été Trickbot qui a émergé dès 2016 et a sévi en Scandinavie. Les hackers ont enrichi cette menace de nouvelles fonctionnalités. Plus de 400 banques en ont été victimes notamment les grandes banques nordiques, américaines et européennes.

L’email de spam contenant des URL et des pièces jointes malveillantes constituent la première méthode d’infection utilisée par les pirates au premier semestre 2018. 31 % de ces spams comportaient des liens vers des sites web malveillants et 23 % contenaient des pièces jointes infectées. Les arnaques dite « à la romance » opèrent un retour en force. Elles représentent 46 % des spams restants. Elles consistent à soutirer de l’argent à la victime ou de l’inciter à s’inscrire sur un site de rencontre payant. Un autre cas d’utilisation consiste à faire tomber sa victime amoureuse, pour lui soutirer ensuite de l’argent.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Paiement en ligne, Piratage, ransomware, ransomware, Securite informatique

L’aéroport de Bristol mis au tapis par un logiciel de rançonnage

L’aéroport de Bristol touché par une cyberattaque. Parmi les problèmes, les écrans d’affichage des vols mis hors ligne pendant 48 heures.

L’aéroport de Bristol (Royaume-Uni) ferme une partie de son informatique. Durant deux jours, en raison d’un ransomware, les écrans d’affichage dédiés aux vols perturbés pendant deux jours. La BBC explique que le rançongiciel a mis une telle pagaille que des systèmes entiers ont du être retirés du réseau. Pour répondre aux attentes des voyageurs, tableaux blancs et marqueurs ont servi de palliatifs ! Le code malveillant peut se retrouver dans la place de plusieurs façons : un employé qui clique sur le mauvais mails ; une clé usb sur un bureau ; une infiltration d’un des serveurs et exécution du code pirate. Un message sur le site web de l’aéroport indique que les vols sont « ok ». Un délai supplémentaire est à prévoir pour l’enregistrement et l’embarquement. Le logiciel de rançonnage n’aurait pas infecté des systèmes sensibles de l’aéroport. Cependant, le site web de la structure aéroportuaire ne proposait plus toutes ses options habituelles.

Argent, Arnaque, backdoor, Banque, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, ransomware, Securite informatique

Cybermenaces : Que font les pirates en 1 minute ?

Cybermenaces : Les pirates feraient perdre plus de 1 million de dollars par minute dans leurs actions malveillants.

Alors que les cybercriminels et les cybermenaces ont coûté 600 milliards de dollars à l’économie mondiale l’an dernier, la société RiskIQ, spécialiste dans la gestion des menaces numériques, a fait appel à des recherches exclusives pour examiner le volume croissant d’activités malveillantes sur Internet.

L’étude montre que, dans une seule minute employée par les pirates informatique du globe, 1 138 888 dollars sont perdus. Dans ce même laps de temps, 1 861 personnes sont victimes d’un acte de piratage. Malgré les efforts des entreprises pour se protéger contre les cybermenaces externes, en dépensant jusqu’à 171 233 dollars en 60 secondes aux USA, les pirates continuent à proliférer et à lancer des campagnes malveillantes.

« Alors qu’Internet et sa communauté continuent de croître à un rythme rapide, le ciblage de la menace se développe également à grande échelle« , déclare à DataSecurityBreach.fr le PDG de RiskIQ, Elias Manousos.

Les tactiques d’attaque

Les méthides d’attaques ? Elles vont des logiciels malveillants au phishing en passant par les attaques de chaînes d’approvisionnement ciblant des tiers. Les motivations pirates incluent l’argent, les dommages à la réputation à grande échelle, la politique et l’espionnage. Les cybercriminels continuent de réussir à déployer des tactiques à partir de 1 274 logiciels malveillants uniques (par minute) et à déployer plus de neuf publicités piégées.

Activités malveillantes

Selon la société américaine RiskIQ, toutes les minutes, 1,5 entreprises de part le monde touchée par un ransomware. Coût moyen pour les entreprises : 15 221 $. (corrections, pertes …) ; En une minute, 17 applications mobiles se retrouvent sur liste noire. 21 nouveaux domaines sont créés pour du phishing et un nouveau site utilisateur (volontaire ou non) du script d’extraction de crypto-monnaie CoinHive voit le jour.

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, loi, ransomware, Securite informatique

RGPD cas d’école : hôpital

Un logiciel malveillant a récemment touché plusieurs sites Web de l’hôpital de Floride. Certaines informations patients concernées.

« L’ampleur de cette exposition a été limitée et il a été confirmé qu’aucun dossier financier n’a été affecté » indique le communiqué de presse de l’hôpital de Floride. Une alerte lancée par l’hôpital de Floride à la suite du piratage de plusieurs de ses sites web : FloridaBariatric.com, FHOrthoInstitute.com et FHExecutiveHealth.com. Les espaces web ont été mis hors ligne le temps de la correction (et de l’enquête). Les informations des patients exposées sur FloridaBariatric.com comprennent les noms, les adresses mails, les numéros de téléphone, les dates de naissance, la taille, le poids, les compagnies d’assurance et les quatre derniers chiffres des numéros de sécurité sociale. Pour les deux autres sites, les informations compromises se limitent au nom, à l’adresse courriel, au numéro de téléphone et à à l’ensemble des commentaires fournis par l’individu. Bref, un ransomware activé après un clic malheureux sur un fichier joint !

Base de données, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Fuite de données, ransomware, Securite informatique

La France toujours sous le feu des ransomware

Une nouvelle étude sur les ransomwares montre que l’impact des attaques est toujours aussi important en France et coûte cher aux entreprises.

Les résultats de la deuxième édition d’une étude mondiale présentant les conséquences des ransomwares sur les entreprises, réalisée en février 2018 par le cabinet Vanson Bourne en France, Allemagne, Royaume Uni, États-Unis a de quoi inquiéter sur le comportement des entreprises face aux Ransomwares. Cette étude, mise en place par SentinelOne, spécialiste des solutions autonomes de protection des terminaux, montre qu’en France, le nombre d’attaques a progressé, passant de 52 % en 2016 à 59 % pour les entreprises qui admettent avoir subi une attaque par ransomware au cours des 12 derniers mois. Les entreprises touchées ont dû faire face à une moyenne de 4 attaques durant cette période. A noter que l’Allemagne a vécu une année particulièrement mouvementée avec 79 % des organisations qui ont été ciblées au moins une fois par un ransomware contre 51 % en 2016.

En France, si dans 53 % des cas, l’attaque la plus réussie a permis aux attaquants de chiffrer des fichiers, cela s’est révélé sans conséquence pour l’entreprise soit parce qu’elle disposait de sauvegardes pour remplacer les données corrompues, soit parce qu’elle a été en mesure de déchiffrer les fichiers. 7 % des victimes n’ont pas trouvé de solution pour récupérer leurs données et 3 % ont préféré payer la rançon pour déchiffrer les données. A titre compartif, aux Etats-Unis, les entreprises ont davantage tendance à payer la rançon (11 % des victimes).

Des conséquences financières et réputationnelles considérables

Le coût direct de l’attaque ainsi que le temps de remédiation ne sont pas négligeables. Ainsi, le coût moyen estimé par les répondants français suite aux attaques par ransomware est de près de 650 000 euros. Le nombre moyen d’heures consacrées au remplacement des données chiffrées par des données de sauvegarde ou à la tentative de déchiffrement des fichiers est estimé à 42 heures (contre 33 heures en 2016).

Les entreprises françaises figurent parmi celles qui ont payé le montant de rançon le plus bas : ceux qui choisissent de payer ont dépensé en moyenne 31 500 euros en rançon, contre une moyenne mondiale de 38 900 euros au cours des douze derniers mois. Ces montants sont en baisse puisqu’en 2016 le montant moyen pour la France était de 85 900 euros et de 51 500 euros au niveau global.

L’ensemble des répondants français s’accordent pour dire que les ransomware ont eu un impact sur leur organisation. La conséquence la plus importante a consisté en une augmentation des dépenses de sécurité informatique (54 %) ainsi qu’un changement de stratégie de sécurité pour se concentrer sur l’atténuation (34 %). En outre, plus d’un répondant sur cinq rapporte que son organisation a connu une publicité négative dans la presse et 34 % que cela à nuit à la réputation de l’entreprise.

« On aurait pu croire qu’après les récentes attaques et l’impact qu’ont eu les ransomware au cours de l’année écoulée les entreprises auraient pris davantage de mesures, or ce n’est pas le cas », déclare Frédéric Benichou, directeur régional Europe du Sud de SentinelOne. « Pourtant, au vu de l’impact que peuvent avoir les ransomware sur l’activité économique et l’image d’une entreprise, c’est un risque qu’il peut être dangereux de prendre. »

Quelles sont les données ciblées ?

En France, les données financières sont particulièrement ciblées (dans 46 % des attaques), suivie des données clients (38 %) et celles relatives aux produits (32 %). Au niveau informatique, les matériels les plus touchés sont avant tout les PC (68 %), les serveurs (56 %) et les terminaux mobiles (31 %).

La sensibilisation des employés reste négligée

Dans 58 % des cas, les professionnels de la sécurité français déclarent que les cybercriminels ont accédé au réseau de leur organisation par le biais d’emails de phishing ou via les réseaux sociaux. 42 % ont indiqué que l’accès avait été obtenu grâce à la technique du drive-by-download déclenché lorsque l’on clique sur un lien menant à un site web compromis, et 39 % ont déclaré que l’attaque est arrivée via un poste de travail faisant partie d’un botnet. La France semble quand même relativement mieux sensibilisée sur le phishing que les autres pays puisque le phishing a permis l’accès dans 69 % des cas en moyenne sur l’ensemble des pays couverts par l’étude.

La sensibilisation reste néanmoins largement perfectible puisque pour 34 % des répondants français, si l’attaque a été couronnée de succès, c’est à cause de la négligence d’un employé. 44 % reconnaissent néanmoins que la faute revient en premier à un antivirus traditionnel inccapable de stopper ce type d’attaque. Il n’en reste pas moins que 39 % des employés français ont quand même décidé de payer la rançon sans intervention ou accord préalable de leur département informatique/sécurité.

« Le problème des ransomware est là pour durer », conclu Frédéric Bénichou. « Il est plus que temps pour les entreprises de prendre les mesures nécessaires pour faire face à ces attaques récurrentes que ce soit au niveau technologique ou humain. Cela implique de mettre en œuvre des solutions de lutte contre les menaces de nouvelles génération et de prêter davantage de considération à la sensibilisation et la formation dispensée aux employés, un point clé trop souvent négligé. »

Android, Antivirus, Chiffrement, Cyber-attaque, Cybersécurité, escroquerie, ios, Logiciels, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Vie privée, Virus, Windows phone

Sites pornographiques : Le Français, un chaud lapin 2.0

Selon une étude, 33 % des adultes français consultent des sites pornographiques au moins 1 fois par jour. 40% d’entre eux ont déjà été contaminés par un virus informatique en visitant des sites pour adultes.

Une étude, réalisée en octobre 2017, sur les cyber-risques associés à la consultation de sites pornographiques vient de produire ses chiffres. Réalisée auprès de 1000 Français, cette étude Kaspersky révèle que 33 % des adultes consultent des sites pornographiques au moins 1 fois par jour, et ce pour une durée moyenne de 22 minutes par visite… soit l’équivalent de 4 jours par an ! Et cette pratique n’est pas sans risque : 40% contaminés par un virus informatique en consultant ces sites. Parmi les autres chiffres, 17% ignoraient que les smartphones et tablettes s’infectaient. 18 % croient protéger leur ordinateur en effaçant leur historique de navigation. 20 % pris en flagrant délit de consultation d’un site pour adultes. 23 familles de malwares Android ont été identifiées comme exploitant la pornographie.

Vous retrouverez la liste complète à la fin de cette brève. 21 % des personnes interrogées accusent leurs proches pour ne pas avoir à en assumer la responsabilité. 18 % protégés en utilisant un navigateur web en mode privé. 22 % reconnaissent consulter des sites pornographiques au travail.

Top 10 des virus informatiques

1. Le cheval de Troie : Sous couvert d’un programme d’apparence inoffensive, il véhicule une charge malveillante.
2. Le téléchargement « drive-by » : Il s’agit d’une méthode courante de propagation de malware. Les cybercriminels recherchent des sites web non sécurisés afin d’implanter un script malveillant dans le code de leurs pages.
3. Le détournement de clic : Cette méthode consiste à inciter un utilisateur à cliquer sur un objet sur une page web tout en lui faisant croire qu’il clique sur un autre.
4. Les bots Tinder : Ces programmes automatiques se font passer pour de véritables utilisateurs sur les sites de rencontre.
5. Le chat-phishing : Des cybercriminels fréquentent des sites de rencontre ou des forums, y encourageant les utilisateurs à cliquer sur des liens vers des forums de live sex et autres sites pornographiques.

Ransomware et pornware

6. Le ransomware : Les cybercriminels utilisent des « bloqueurs » pour interdire à la victime l’accès à sa propre machine, invoquant souvent la présence de « contenu pornographique illicite » en misant sur le fait que quiconque ayant consulté des sites pour adultes est moins enclin à se plaindre aux autorités.
7. Le vers : Ce type de programme se reproduit sans écrire son code dans d’autres fichiers. Au lieu de cela, il s’installe une fois sur la machine d’une victime puis recherche un moyen de se propager à d’autres.
8. Le pornware : Il peut s’agir d’un programme authentique mais aussi d’un adware installé par un autre programme malveillant et conçu pour afficher du contenu inapproprié sur la machine de la victime.
9. Le spyware : Logiciel d’espionnage qui permet à un pirate d’obtenir subrepticement des informations sur les activités en ligne de la victime et de les exfiltrer de sa machine.
10. Le faux antivirus : De prétendus logiciels antivirus exploitent la crainte des utilisateurs. Des malwares dans votre machine pendant le visionnage de contenus pornographiques.

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Logiciels, Particuliers, Piratage, ransomware, ransomware, Sauvegarde, Securite informatique, Vie privée

RGPD et Ransomware : des actions judiciaires à prévoir dès mai 2018 ?

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

RGPD et actions judiciaires ! Le 18 janvier 2018, la société américaine Allscripts était touchée par un ransomware. Classique attaque qui chiffre les fichiers des ordinateurs infiltrés. Une cyberattaque possible via le clic malheureux d’un employé sur un mail piégé. Une attaque qui a perturbé l’entreprise, mais aussi directement ses clients. Ces derniers ne pouvaient accéder à leurs dossiers de patients ou de facturation.

Bilan, une plainte de recours collectif (Class action) a été déposée contre Allscripts. Le fournisseur de dossiers de santé électroniques (DSE) va se retrouver devant la justice. Un de ses prestataires, Surfside Non-Surgical Orthopedics, basé en Floride, spécialisé dans la médecine sportive, a déposé une plainte contre DSE.

Actions judiciaires, rançongiciel …

En en raison de l’attaque, Surfside indique qu’il « ne pouvait plus accéder aux dossiers de ses patients ou prescrire électroniquement des médicaments« .  Bilan, rendez-vous annulé, pertes d’argent… Allscripts est l’un des fournisseurs de dossiers médicaux électroniques (DSE) les plus répandus dans le monde.

L’entreprise est toujours à travailler, plusieurs jours après cette « attaque », à restaurer certains de ses systèmes informatiques suite au rançongiciel.

Fait intéressant, le type de ransomware utilisé dans l’attaque [SamSam ransomware] était le même que celui utilisé dans une attaque contre Hancock Health, un autre système de santé basé dans l’Indiana, début janvier 2018. Dans ce cas, les responsables du système de santé ont fermé tout le réseau Hancock Health et ont finalement payé le pirate. Il aurait reçu 55 000 dollars en bitcoin.

SamSam a également été utilisé contre le système de santé intégré MedStar Health, en mars 2016. Bleeping Computer a noté que d’autres attaques ont signalées, impliquant SamSam, dans les machines de l’Adams Memorial Hospital (Indiana).

Les systèmes d’Allscripts desservent environ 180 000 médecins et 2 500 hôpitaux. Il n’est pas clair si la société a payé une rançon.

backdoor, Bitcoin, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage, ransomware, Securite informatique, Social engineering

FORTE PROGRESSION DES CYBERATTAQUES AVEC DEMANDE DE RANÇON

Les paiements intraçables en réponse aux demandes de rançon ont toutes les chances de séduire les pirates motivés par l’appât du gain alors que la valeur des crypto-monnaies continue d’augmenter.

La société Radware vient d’annoncer la publication de l’édition 2017-2018 de son rapport baptisé « Global Application and Network Security Report », qui révèle que le pourcentage des entreprises signalant des cyberattaques motivées par l’appât du gain a doublé en deux ans, avec 50% des entreprises sondées ayant reconnu avoir été victimes d’une cyberattaque avec demande de rançon au cours de l’année passée. Avec l’appréciation des crypto-monnaies, la forme de paiement préférée des pirates, le rançonnage est l’occasion d’encaisser d’importants profits. Et cela plusieurs mois après leur délit.

« Avec l’adoption rapide des crypto-monnaies, l’élévation consécutive de leur valeur séduit encore plus les hackers que la possibilité d’anonymat », explique Carl Herberger, vice-président en charge des solutions de sécurité chez Radware. « Le fait de payer un hacker dans ce contexte encourage d’autres attaques mais, surtout, cela apporte aux criminels les fonds dont ils ont besoin pour poursuivre leurs opérations. »

Demande de rançon, nouveau sport olympique sur le web

Le nombre des entreprises ayant signalé des attaques de ransomware, où les hackers utilisent des malwares pour chiffrer les données, systèmes et réseaux jusqu’au versement de la rançon, a nettement augmenté l’an dernier, et observe une hausse de 40% par rapport à l’enquête de 2016. Les entreprises ne prévoient pas de ralentissement de cette menace en 2018. Un dirigeant sur quatre (26%) considère que c’est la principale menace.

« Les criminels ont utilisé plusieurs vulnérabilités et tactiques de piratage cette année pour verrouiller l’accès à des systèmes vitaux, voler de la propriété intellectuelle et faire cesser les opérations des entreprises, en joignant chaque fois une demande de rançon », continue Herberger. « Entre les perturbations de service, les pannes ou le vol de propriété intellectuelle, les hackers laissent les entreprises démunies à la recherche de solutions a posteriori. Dès lors qu’ils emploient des méthodes de plus en plus automatisées, il est primordial que les entreprises adoptent une stratégie proactive de protection de leurs opérations. »

Voici quelques-unes des conclusions du rapport :

  • La protection des données est la préoccupation principale des entreprises frappées par une cyberattaque. Pour les sondés, la fuite de données est la crainte numéro 1. Elle est suivie par la dégradation de la réputation et l’inaccessibilité des services.
  • 24% signale des cyberattaques quotidiennes ou hebdomadaires. Elles sont près de 80% à ne pas avoir évalué le coût des attaques. Une sur trois n’a toujours pas de plan d’intervention en cas de cyberattaque.
  • Les sondés ne sont pas sûrs de savoir qui est responsable de la sécurité de l’Internet des objets (IoT). Les responsables de la sécurité ne parviennent pas à un consensus clair. Certains attribuent la responsabilité à l’organisation chargée de l’administration du réseau (35%). 34% au constructeur. 21% aux consommateurs qui utilisent ces équipements.
backdoor, Base de données, Chiffrement, cryptomonnaie, Cybersécurité, Entreprise, ransomware, Securite informatique

26 % des attaques de ransomwares auraient ciblées les entreprises en 2017

En 2017, 26,2 % des cibles du ransomware étaient des entreprises, contre 22,6 % en 2016. Cette augmentation est due en partie à trois attaques sans précédent contre des réseaux d’entreprise. Ces derniers, WannaCry, ExPetr, et BadRabbit, ont bouleversé à jamais le paysage autour de cette menace, de plus en plus virulente.

2017 marque l’année de l’évolution inattendue et spectaculaire de la menace du ransomware, avec des acteurs malveillants avancés. Ils ciblent des entreprises dans le monde entier au moyen de séries d’attaques destructives à base de vers autonomes, dont l’objectif ultime demeure un mystère. Les derniers en date, WannaCry le 12 mai, ExPetr le 27 juin et BadRabbit fin octobre. Toutes ont exploité des vulnérabilités afin d’infecter les réseaux des entreprises. Ces attaques ont également été visées par d’autres ransomwares. Kaspersky Lab a d’ailleurs bloqué des infections de ce type dans plus de 240 000 entreprises au total.

Globalement, un peu moins de 950 000 utilisateurs distincts ont été attaqués en 2017, contre environ 1,5 million en 2016, la différence s’expliquant dans une large mesure par la méthode de détection (par exemple, les downloaders souvent associés au cryptomalware sont désormais mieux détectés par les technologies heuristiques, par conséquent ils ne sont plus classés avec les verdicts de ransomware collectés par nos systèmes de télémétrie).

Ransomwares, un danger qui plane

Les trois principales attaques, ainsi que d’autres moins médiatisées, notamment AES-NI et Uiwix, ont exploité des vulnérabilités complexes ayant fuité en ligne au printemps 2017 à l’initiative du groupe Shadow Brokers. Le nombre de nouvelles familles de ransomware est en net recul (38 en 2017, contre 62 en 2016), contrebalancé par un accroissement des variantes de ransomwares existants (plus de 96 000 nouvelles versions détectées en 2017, contre 54 000 en 2016). Cette multiplication des modifications reflète peut-être les tentatives des auteurs d’attaques de masquer leur ransomware tandis que les solutions de sécurité deviennent plus performantes dans leur détection.

À partir du deuxième trimestre de 2017, un certain nombre de groupes ont mis fin à leurs activités dans le domaine du ransomware et ont publié les clés nécessaires de décryptage des fichiers. Il s’agit d’AES-NI, xdata, Petea / Mischa / GoldenEye et Crysis. Crysis est réapparu par la suite, peut-être ressuscité par un autre groupe. La tendance croissante à l’infection des entreprises par des systèmes de bureau distant s’est poursuivie en 2017, cette méthode de propagation étant devenue la plus courante pour plusieurs familles répandues, telles que Crysis, Purgen / GlobeImposter et Cryakl.

65 % des entreprises frappées par un ransomware en 2017 indiquent avoir perdu l’accès à une grande quantité voire à la totalité de leurs données. Une sur six parmi celles qui ont payé une rançon n’a jamais récupéré ses données. Ces chiffres n’ont pratiquement pas varié par rapport à 2016. Fort heureusement, l’initiative No More Ransom, lancée en juillet 2016, connaît un grand succès. Ce projet réunit des forces de police et des acteurs du secteur de la sécurité pour pister et démanteler les principales familles de ransomware, afin d’aider les particuliers à récupérer leurs données et de saper l’activité lucrative des criminels.

Argent, Chiffrement, cryptage, cryptomonnaie, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, hackathon, Particuliers, Piratage, ransomware, ransomware, Securite informatique

Prolifération d’un nouveau Locky agressif

Locky is back ? Les analystes de l’Advanced Technology Group de Barracuda Networks surveillent activement une nouvelle attaque par ransomware très agressive qui semble provenir majoritairement du Vietnam.

Comme j’ai pu vous l’indiquer sur Twitter aux premières minutes de l’attaque, ce nouveau Locky a trouvé le moyen de passer certains filtres antispams et touchés des entreprises et écoles Françaises. Une attaque qui serait parti du Vietnam. D’autres sources significatives de cette attaque comprennent l’Inde, la Colombie, la Turquie et la Grèce.

D’autres pays semblent aussi distribuer le même ransomware mais dans des volumes très faibles. Jusqu’à présent la société Barracuda a identifié environ 20 millions de ces attaques au cours des dernières 24 heures, et ce chiffre augmente rapidement. Chiffre tiré de ses sondes, chez ses clients.

Une variante du ransomware Locky

Les analystes de Barracuda ont confirmé que cette attaque utilise une variante du ransomware Locky avec un identifiant unique. L’identifiant permet à l’attaquant d’identifier la victime de sorte que lorsque cette dernière paie la rançon, l’attaquant peut lui envoyer l’outil permettant de décrypter ses données. Dans cette attaque, toutes les victimes ont le même identifiant, ce qui veut dire que les victimes qui paient la rançon ne recevront pas l’outil de décryptage car il sera impossible pour le criminel de les identifier.

Cette attaque vérifie également la langue employée par l’ordinateur de ses victimes, ce qui peut indiquer le déclenchement d’une version internationale de cette attaque dans l’avenir.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Piratage, ransomware, ransomware, Securite informatique, Social engineering

MacRansom, un ransomware pour Mac

La découverte de nouvelles variantes de ransomwares et de logiciels espions ciblant Mac OS n’est pas surprenante compte tenu de l’augmentation sur les forums de hacking des conversations relatives aux programmes ransomwares open-source et au développement de malwares sous licence.

MacRansom, la sale bête qui croque la pomme ! Malgré une plus petite base d’utilisateurs de Mac OS par rapport à Windows, rendant les souches de malwares ou de ransomwares moins rentables pour les cybercriminels, ce n’était qu’une question de temps avant que des variantes spécifiques à Mac n’émergent.

Comme cela semble être le cas ici avec le ransomware MacRansom, les auteurs du malware utilisent un modèle de type RaaS, Ransomware-as-a-service, permettant à ceux qui ne possèdent pas les compétences nécessaires en matière de codage de jouer aux cybercriminels. Cette démocratisation, associée à la possibilité d’acheter des malwares, a changé la donne. Les actes malveillants qui étaient isolés au départ font aujourd’hui partie d’une véritable économie souterraine et lucrative, les malwares étant devenus une source de revenus viable bien qu’étant illégale.

MacRansom, une alerte à prendre au sérieux

Les consommateurs doivent être conscients qu’il est faux de penser qu’il existe plus de vulnérabilités dans Windows que dans Mac OS, ce qui le rend moins sécurisé ! C’est plutôt sa plus petite base d’utilisateurs qui fait de Mac OS une cible moins attractive pour les développeurs de malwares. Néanmoins, il est indispensable que ses utilisateurs prennent les mêmes précautions que sur PC lorsqu’il s’agit de protéger leurs appareils, notamment via l’utilisation d’un antivirus fiable et performant. (Jean-Baptiste Souvestre, Software Engineer, chez Avast)

Antivirus, Chiffrement, cryptage, cryptolocker, Cybersécurité, Entreprise, Logiciels, ransomware

Vol de code : quand la rivalité entre pirates profite aux victimes de ransomwares

Un outil de déchiffrement pour des variantes du ransomware AES-NI grâce aux pirates eux-mêmes. Ils l’ont rendu public suite à la propagation d’un autre ransomware utilisant le même code.

Les clés de la variante A (Win32 / Filecoder.AESNI.A.) avaient déjà été publiées sur un forum d’aide aux victimes de ransomware, les auteurs ayant revendiqué être les développeurs du malware. Pour la variante B (Win32 / Filecoder.AESNI.B), les pirates l’ont diffusé sur Twitter. Quant à la variante C (Win32 / Filecoder.AESNI.C) connue sous le nom d’XData, un invité anonyme a posté la clé sur un forum quelques jours plus tard.

Comme le souligne BleepingComputer, le groupe de cybercriminels responsable de la propagation du ransomware AES-NI affirme que son code source a été volé et utilisé par le ransomware XData (détecté par ESET le 8 décembre 2016 sous Win32 / Filecoder.AESNI.C).

Piratage informatique dans le monde du ransomware ! À l’origine, le ransomware possède des restrictions empêchant les infections en Russie et dans la Communauté des États Indépendants (CEI). Cette technique est souvent utilisée par les cybercriminels russes qui évitent ainsi les poursuites intentées par leur gouvernement.

Après avoir volé le code source plus tôt cette année, les restrictions semblent avoir été levées pour cibler l’Ukraine et ses pays voisins :  entre le 17 et le 22 mai 2017, ce ransomware a été détecté à 96% en Ukraine.

Les victimes ayant des fichiers chiffrés peuvent télécharger l’outil de déchiffrement ESET en cliquant ici.

Comment se protéger

Pour ce cas précis, la séparation des comptes d’administration et d’utilisateur évite en grande partie les préjudices, car le ransomware XData se sert des mots de passe d’administration pour se propager. Sans les privilèges administrateurs, XData ne peut infecter qu’un seul ordinateur au lieu du réseau.

De manière générale, voici ce que vous pouvez faire pour vous protéger contre la plupart des ransomwares :

• utilisez une solution de sécurité fiable et multicouche ;

• mettez régulièrement à jour vos logiciels et patchez votre système d’exploitation ;

• sauvegardez vos fichiers sur un disque dur ou un emplacement distant non connecté au réseau ;

• ne cliquez jamais sur les pièces jointes et les liens des emails suspects ou dont vous ignorez la source.

 

Argent, Chiffrement, cryptage, Cybersécurité, Entreprise, escroquerie, Paiement en ligne, Particuliers, ransomware, Social engineering

La France, 4ème pays le plus touché par Wannacry

Malwarebytes dévoile un ranking des pays les plus touchés par la cyberattaque mondiale de mai. La France, cinquième pays le plus touché par WannaCry.

WannaCry s’est propagé globalement en l’espace de quelques heures en utilisant une vulnérabilité dans un protocole de transmission de données utilisé par Windows. On estime à environ 300 000 le nombre de machines qui ont été infectées, surtout en Europe et en particulier en Russie. Malwarebytes a examiné les données collectées à partir de ses produits déployés sur des millions de terminaux à travers le monde, et les a classées par pays. La France se classe en 4ème position mondiale alors que la presse, et certains « experts » indiquaient l’hexagone comme épargné.

Mise à jour : la société a contacté DataSecurityBreach.fr pour lui indiquer s’être trompée dans son mail précédent. Il s’agissait de la 4ème position, et non la5e.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, ransomware, Social engineering

Les quatre secteurs d’activité visés par les ransomwares

77 % des ransomwares recensés se concentrent sur quatre secteurs d’activité – services aux entreprises, pouvoirs publics, santé et grande distribution.

Les ransomwares attaquent ! NTT Security, la branche sécurité du groupe NTT, vient de publier l’édition 2017 de son rapport sur l’état des menaces dans le monde (GTIR). Ces tendances mondiales proviennent de l’analyse des données de logs, d’événements, d’attaques, d’incidents et de vulnérabilités recensées entre le 1er octobre 2015 et le 31 septembre 2016. À partir de l’étude des contenus des unités opérationnelles du groupe NTT (NTT Security, Dimension Data, NTT Communications et NTT Data), ainsi que des données du centre mondial de cyberveille (GTIC, anciennement SERT), le rapport met en lumière les dernières tendances en matière de ransomware, de phishing et d’attaques DDoS, tout en démontrant l’impact des menaces actuelles sur les entreprises mondiales.

Dans un contexte de généralisation du phishing comme mécanisme de diffusion de ransomware – type de malware conçu pour bloquer les données ou appareils des victimes et les déverrouiller contre rançon – notre rapport révèle que 77 % des ransomwares détectés dans le monde se concentraient sur quatre secteurs d’activité : services aux entreprises (28 %), pouvoirs publics (19 %), santé (15 %) et grande distribution (15 %).

Certes, les attaques spectaculaires exploitant les dernières vulnérabilités tendent à faire les gros titres. Pourtant, les cas les plus fréquents sont souvent moins technique. Ainsi, selon le GTIR, les attaques de phishing ont causé près des trois quarts (73 %) des infections des entreprises par malware. Les pouvoirs publics (65 %) et les services aux entreprises (25 %) ont été les secteurs les plus touchés au niveau mondial. Le rapport révèle que les États-Unis (41 %), les Pays-Bas (38 %) et la France (5 %) sont les principaux pays d’origine des attaques de phishing.

D’autre part, le rapport révèle également que, l’année dernière, seuls 25 mots de passe ont servi dans près de 33 % des tentatives d’authentification sur les honeypots de NTT Security. Plus de 76 % de ces tentatives utilisaient un mot de passe connu pour son implémentation dans Mirai, un botnet composé d’appareils IoT compromis. Mirai a servi de rampe de lancement dans ce qui était à l’époque les plus grandes attaques de déni de service distribué (DDoS) jamais perpétrées.

Dans le monde, les DDoS ont représenté moins de 6 % des attaques recensées. Toutefois, elles constituaient encore plus de 16 % des attaques venues d’Asie, et 23 % en provenance d’Australie.

De son côté, la finance fut le secteur le plus ciblé au niveau planétaire, concentrant à elle seule 14 % de toutes les attaques détectées. Signe de cette prépondérance, ce secteur est le seul à figurer dans le Top 3 de toutes les zones géographiques analysées, suivie par le secteur industriel qui décroche une place sur ce sombre podium dans cinq régions sur six. La finance (14 %), les pouvoirs publics (14 %) et l’industrie (13 %) ont constitué le trio de tête du classement des secteurs les plus attaqués.

D’après Steven Bullitt, vice-président chargé de la cyberveille et des interventions sur incidents et du GTIC pour NTT Security : « Le GTIR se base sur l’analyse de milliers de milliards de logs de sécurité consignés l’an dernier, ce qui en fait le rapport le plus complet dans ce domaine. Sur les 12 mois étudiés, nous avons identifié plus de 6 milliards de tentatives d’attaques – soit environ 16 millions par jour – et suivi la trace de cybercriminels recourant à quasiment tous les types de méthodes. Nous avons assisté des entreprises victimes de violations de données, collecté et analysé les informations de cyberveille mondiales et effectué nos propres recherches de sécurité. Les recommandations de ce rapport se fondent sur les enseignements que nous en avons tirés. »

« Notre but ultime n’est pas de susciter la crainte, l’incertitude et le doute, ni de compliquer davantage le tableau actuel des menaces, mais plutôt de mettre la cybersécurité en valeur et de s’adresser non pas à un seul public d’initiés, mais à toutes celles et ceux qui doivent faire face aux risques d’une attaque. Nous souhaitons les sensibiliser afin qu’ils comprennent leur responsabilité dans la protection de leur entreprise et l’obligation de cette dernière de les accompagner dans cette démarche. »

Pour en savoir plus sur les principales menaces mondiales mais aussi sur les mesures que le management, les équipes techniques et les utilisateurs peuvent prendre pour réduire leur exposition aux risques de sécurité, rendez-vous sur la page de téléchargement du GTIR 2017 de NTT Security : http://www.nttsecurity.com/fr/GTIR2017

Base de données, Chiffrement, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Leak, Piratage

Cyber-espionnage et ransomware en hausse

Le cyber-espionnage et les ransomwares sont en augmentation constante d’après le Data Breach Investigations Report 2017.

Le cyber-espionnage est désormais le type d’attaque le plus courant dont font l’objet l’industrie, le secteur public et même l’éducation, signale Verizon dans l’édition 2017 de son rapport Data Breach Investigations Report.  Ceci s’explique surtout par la prolifération des recherches de propriété intellectuelle, des prototypes et des données personnelles confidentielles, qui attirent tout particulièrement les cybercriminels. Sur près de 2 000 compromissions analysées cette année, le rapport compte 300 cas de cyber-espionnage (21%), dont beaucoup n’étaient à l’origine que des e-mails de phishing.

De plus, les organisations criminelles intensifient leur utilisation des ransomwares pour extorquer l’argent des victimes : le rapport fait état d’une augmentation de 50% des attaques de ransomwares par rapport à l’année précédente.  Malgré cette augmentation et la médiatisation autour de l’utilisation des ransomwares, de nombreuses entreprises utilisent toujours des solutions de sécurité qui ne sont plus au goût du jour et elles n’investissent pas suffisamment dans des précautions supplémentaires.  Elles honorent les demandes de rançon plutôt que d’investir dans des services de sécurité qui pourraient les protéger d’une cyberattaque.

« Les éclairages qu’apporte le rapport DBIR uniformisent les règles du jeu de la cybersécurité », déclare George Fischer, président de Verizon Enterprise Solutions. « Nous apportons aux états et aux entreprises l’information dont ils ont besoin pour se protéger contre les cyberattaques et mieux gérer le cyber-risque. En analysant les données de notre propre équipe dédiée à la sécurité et celles d’autres grands professionnels de la sécurité et institutionnels du monde entier, nous mettons à disposition de précieuses informations de veille pour aider à transformer le profil de risque d’une organisation. »

Le rapport DBIR de cette année, qui en est à sa 10ème édition, propose une analyse des actuelles problématiques de cybersécurité et des informations sectorielles afin de sensibiliser les entreprises et administrations pour qu’elles fassent de la sécurité leur priorité. Voici quelques-unes des conclusions du rapport :

•    L’importance croissante des malwares : 51% des cas de compromission de données analysés impliquaient des malwares. Le ransomware progresse à la cinquième place des malwares spécifiques les plus courants. Cette technologie d’extorsion de fonds aux victimes affiche une progression de 50% par rapport à l’édition précédente, et fait un énorme bond par rapport au rapport DBIR de 2014 où elle se classait à la 22ème place des types de malwares en circulation.

•    Le phishing a toujours du succès : Dans l’édition 2016 du rapport DBIR, Verizon signalait l’utilisation croissante des techniques de phishing liées à l’installation d’un logiciel sur le terminal d’un utilisateur. Cette année, le processus se retrouve dans 95% des attaques de phishing. Une technique de phishing est présente dans 43% des cas de compromission de données et la méthode sert autant pour le cyber-espionnage que pour les attaques à but lucratif.

•    Essor des tactiques de faux semblant (pretexting) : L’édition 2017 du rapport DBIR montre que la tactique en plein essor de pretexting cible de façon prédominante les salariés des services financiers, ceux qui détiennent les clés des procédures de transfert d’argent. L’e-mail est le premier vecteur de communication, utilisé dans 88% des cas de pretexting ayant un but lucratif, suivi en seconde position par les communications téléphoniques dans moins de 10% des cas.

•    Les petites entreprises sont aussi visées : 61% des victimes analysées étaient des entreprises de moins de 1 000 salariés.

Cyber-espionnage

« Les cyber-attaques ciblant le facteur humain sont toujours un gros problème », déclare Bryan Sartin, directeur exécutif de la branche Global Security Services de Verizon Enterprise Solutions. « Les cybercriminels se concentrent sur quatre éléments moteurs du comportement humain pour encourager les individus à révéler des informations : l’empressement, la distraction, la curiosité et l’incertitude. Et ça marche, puisque notre rapport fait étatd’une forte augmentation des cas de phishing et de pretexting cette année. »

Le rapport de cette année apporte des éclairages concernant certains secteurs spécifiques, et révèle les problématiques spécifiques de différents secteurs verticaux, en plus de répondre systématiquement aux questions « qui ? quoi ? pourquoi ? et comment ? ».
Voici quelques-unes des conclusions sectorielles :

•    Les trois secteurs d’industrie visés par les compromissions de données sont les services financiers (24%) ; la santé (15%) et le secteur public (12%).

•    Les entreprises du secteur de l’industrie sont les cibles les plus fréquentes des malwares adressés par e-mail.

•    68% des menaces visant le secteur de la santé sont perpétrées depuis l’intérieur de l’organisation.

« Les données du cybercrime varient beaucoup d’un secteur à un autre », commente Bryan Sartin. « Ce n’est qu’en comprenant les mécanismes fondamentaux de chaque secteur vertical que l’on peut apprécier les défis de cybersécurité de chacun et recommander des mesures appropriées. »

Sachant que dans 81% des cas de compromission, on retrouve des mots de passe volés et/ou peu sécurisés ou faciles à deviner, il demeure très important de poser des bases solides. Voici quelques recommandations à l’attention des entreprises et des individus :
1.    Restez vigilants : les fichiers journaux et les systèmes de gestion du changement peuvent être des indicateurs d’alerte précoce d’une compromission.
2.    Utilisez vos salariés comme première ligne de défense : formez-les pour qu’ils sachent détecter les signes d’alerte.
3.    Appliquez le principe de la nécessité absolue : seuls les salariés ayant besoin d’avoir accès aux systèmes pour travailler sont effectivement autorisés.
4.    Installez les correctifs dans les meilleurs délais : c’est le meilleur moyen de se protéger de très nombreuses attaques.
5.    Chiffrez les données sensibles : rendez vos données inexploitables en cas de vol.
6.    Utilisez la double authentification : vous limiterez l’ampleur des dégâts en cas d’identifiants perdus ou volés.
7.    Ne négligez pas la sécurité physique : tous les vols de données ne se produisent pas en ligne.

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Logiciels, Mise à jour, Patch, Piratage, Social engineering

Le business du chiffrement des données des entreprises

Publication d’un livre blanc sur la rentabilité de l’activité de chiffrement des données des entreprises par les cybercriminels.

Le ransomware, cybermenace la plus prolifique du moment, se propage au sein des entreprises via les réseaux de partage de fichiers, les pièces jointes, les liens malveillants ou encore les sites Internet compromis autorisant les téléchargements directs. Le premier trimestre 2016 a enregistré une croissance de 3 500% du nombre de domaines utilisés pour la diffusion de ransomwares, établissant au passage un nouveau record.

Principaux pays touchés par des ransomwares, sous Windows au premier semestre 2016

Les ransomwares ont généré plusieurs centaines de millions de d’euros de gains au moyen d’actes d’extorsion explique BitDefender. Au cours du premier semestre 2016, c’est aux États-Unis que le plus grand nombre d’attaques de ransomwares ont été recensées, avec 19,09% de l’ensemble des attaques de ransomwares déclarées dans le monde.

Le Royaume-Uni est arrivé en deuxième position, avec 11,89%, soit seulement 2,26 points de plus que l’Allemagne (9,63%), laquelle figurait à la troisième place de notre classement des pays les plus touchés par des attaques de ransomwares.

Principales familles de ransomwares sous Windows en France, premier semestre 2016

Teslacrypt arrive en tête avec 9,38% de l’ensemble des attaques de ransomwares déclarées, Locky se classe en seconde position avec 7,48% et Cryptolocker se hisse à la troisième place, avec 5,66%. Les écarts minimes qui séparent la France des Etats-Unis, de l’Allemagne et du Royaume-Uni semblent indiquer que les cybercriminels ont utilisé une large palette de techniques pour infecter leurs victimes. Si d’autres pays ont été plus particulièrement visés par des infections de ransomwares spécifiques, il semblerait qu’en France, les cybercriminels aient recouru à tout l’arsenal de techniques possibles pour diffuser des ransomwares…

Quelques actions utiles pour se protéger contre les ransomwares en milieu professionnel

– Sauvegarder régulièrement les données et contrôler l’intégrité de ces sauvegardes. Les sauvegardes sont essentielles en cas d’incidents liés à des ransomwares ; en cas d’infection, elles peuvent constituer le meilleur moyen de récupérer les données critiques.

– Sécuriser ses sauvegardes. Veiller à ce que les sauvegardes ne soient pas connectées aux ordinateurs et aux réseaux qu’elles sauvegardent. Faire des sauvegardes dans le Cloud ou les stocker sur un support physique hors ligne. Il convient de noter que certains ransomwares ont la capacité de verrouiller les sauvegardes basées dans le Cloud lorsque les systèmes réalisent en continu des sauvegardes en temps réel, une action également connue sous le nom de « synchronisation continue ».

– Examiner avec attention les liens contenus dans les e-mails et ne jamais ouvrir les documents joints à des e-mails non sollicités.

– Ne jamais télécharger des logiciels (en particulier gratuits) à partir de sites inconnus. Quand cela est possible, vérifier l’intégrité du logiciel au moyen d’une signature numérique, avant son exécution.

– Veiller à ce que les correctifs d’applications pour ses systèmes d’exploitation, logiciels et firmwares soient à jour, y compris Adobe Flash, Java, les navigateurs Web, etc.

– Veiller à ce que la solution antimalware soit paramétrée pour se mettre à jour automatiquement et pour effectuer des analyses régulièrement.

– Désactiver les scripts de macro des fichiers transmis par e-mail. Envisager d’utiliser le logiciel Office Viewer pour ouvrir les fichiers Microsoft Office transmis par e-mail plutôt que d’utiliser l’ensemble des applications de la suite Office.

– Mettre en place des restrictions logicielles ou d’autres contrôles afin d’empêcher l’exécution de programmes dans des emplacements couramment utilisés par les ransomwares, tels que les dossiers temporaires utilisés par les principaux navigateurs Internet ou les programmes de compression/décompression, y compris ceux qui se trouvent dans le dossier AppData/LocalAppData.

*Source : Bitdefender Labs. Auteurs : Liviu Arsene, et Răzvan Mureșan, Spécialistes Sécurité.

**Le livre blanc