Archives par mot-clé : ransomwares

backdoor, Bitcoin, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Securite informatique

Cybercriminels : évolution des systèmes sophistiqués de menaces

Utilisation massive des attaques par email, détection difficile des attaques phishing ou encore chute des ransomwares… Quelles ont été les tendances des cybercriminels ce dernier trimestre ?

Dans son Rapport Trimestriel Q4 2018, Proofpoint met en lumière l’évolution des systèmes sophistiqués de menaces, que ce soit à travers les emails, les réseaux sociaux ou plus largement sur internet. Conçu pour mieux combattre les menaces d’aujourd’hui et anticiper les attaques émergentes, il permet de découvrir les tendances en matière de cyberattaques.

Parmi les principales menaces du dernier trimestre 2018, nous notons Une utilisation massive des attaques BEC contre des entreprises. Une augmentation des fraudes par email de 226% au quatrième trimestre et de 476% par rapport au quatrième trimestre 2017. Les chevaux de Troie bancaires restent la principale menace véhiculée par email : ils représentent 56% de toutes les charges utiles malveillantes au quatrième trimestre ; parmi celles-ci, 76% des attaques proviennent de Emotet. Egalement, les chevaux de Troie d’accès à distance représentaient 8,4 % de toutes les charges utiles malveillantes au quatrième trimestre et 5,2 % pour l’année, marquant un changement significatif par rapport aux années précédentes où ils étaient rarement utilisés.

Les ransomware toujours très présents

Les ransomwares ont chuté à seulement 0.1% du volume total de messages malveillants. Les messages malveillants qui contiennent de fausses mise à jour ou lien de téléchargement corrompus ont grimpé à plus de 230 % en 1an. Les messages exploitant des URL malveillantes se sont révélés plus nombreux que les messages contenant des pièces jointes.

Les attaques sur le web : quand les cryptomonnaies se font miner. L’activité de Coinhive, ce logiciel de minage de moneros, a littéralement explosé en décembre (augmentation de 23 fois la moyenne de l’année en deux semaines). Dans l’ensemble, l’activité Coinhive a continué de croître lentement, à l’exception de ce pic. Il y a eu une augmentation de 150% de menace ciblant l’humain, bien qu’il s’agisse d’une croissance plus lente que les trimestres précédents. Ce chiffre confirme l’importance des techniques d’ingénierie sociale.

Sur les réseaux sociaux, les attaques par « angler phishing » restent difficiles à détecter. Le phishing sur les réseaux sociaux, communément appelé ‘angler phishing a augmenté de 442 % par rapport à l’année précédente. En revanche, les liens de phishing sur les réseaux sociaux diminuent à mesure que les plateformes renforcent leurs algorithmes pour contrer ce problème. Le phishing reste malgré tout une technique difficile à détecter car les attaques sont causées par des interactions humaines. (Le rapport)

backdoor, Communiqué de presse, Cybersécurité, IOT, Mise à jour, Securite informatique

Analyses des Cyber-menaces 2017

Nouveau rapport relatif à l’analyse des cyber-menaces enregistrées au cours du second trimestre 2017. Malwares, ransomwares, mobiles en pleine forme !

Le nouveau rapport dédié aux cyber-menaces baptisé McAfee Labs Threats Report : September 2017, revient sur les récentes attaques WannaCry et NotPetya, met en lumière la puissance de frappe du cheval de Troie Faceliker et révèle les secteurs d’activités les plus ciblés par les pirates informatiques. On y découvre que les campagnes de ransomware [WannaCry et NotPetya] n’ont pas tant échoué que cela. Raj Samani, Chief Scientist chez McAfee explique qu’il « est tout aussi probable que leur motivation première [les diffuseurs des deux ransomwares cités] n’ait pas été l’argent, mais de perturber. Auquel cas, les deux campagnes ont été incroyablement efficaces. Nous vivons désormais dans un monde où chaque motif derrière un ransomware n’est plus simplement de gagner de l’argent, mais dans l’univers du pseudo-ransomware. »

Au deuxième trimestre 2017, Facebook a émergé comme un vecteur d’attaques notable et lieu de cyber-menaces. Faceliker a contribué, à hauteur de 8,9 %, aux 52 millions d’échantillons de logiciels malveillants nouvellement détectés. Ce cheval de Troie infecte le navigateur d’un utilisateur lorsqu’il visite un site malveillant ou compromis. Il détourne alors les « j’aime » et favorise le contenu à l’insu de l’internaute. A grande échelle, le système peut générer d’importants revenus pour les malfaiteurs derrière Faceliker. Les clics détournés pouvant faire apparaître un contenu (article, vidéo, site Web ou annonce) plus populaire/fiable qu’il ne l’est vraiment.

Le secteur public a été le plus ciblé au cours du second trimestre 2017

L’analyse trimestrielle révèle que le secteur public a été le plus ciblé au cours du second trimestre 2017, et plus particulièrement en Amérique du Nord depuis un an et demi. Le rapport révèle également que le domaine de la santé est demeuré parmi les plus visés avec une hausse de 26 % enregistrée sur le deuxième trimestre. Cette tendance a commencé au premier trimestre 2016 lorsque de nombreux hôpitaux ont subi des attaques par ransomware. Ces dernières ont paralysé plusieurs services et ont contraint, dans certains cas, les hôpitaux à transférer des patients et à retarder des opérations. Si les fuites de données dans le domaine de la santé sont aussi probablement le résultat de diffusions accidentelles et d’erreurs humaines, le secteur continue d’enregistrer un nombre croissant de cyberattaques.

Les principaux faits marquants en matière de cyber-menaces

311 incidents de sécurité rendus publiques, soit une augmentation de 3% par rapport au trimestre précédent. Une grande majorité (78%) a eu lieu sur le continent américain. Cibles verticales. Les secteurs publics, de la santé et de l’éducation représentaient plus de 50% des incidents répertoriés. En Asie, c’est davantage le secteur public qui est ciblé, suivi par les domaines des services financiers et des technologies. En Europe, c’est le secteur public qui remporte la première place, suivi des domaines du divertissement, de la santé, des finances et des technologies.

Le détournement de compte fait figure du premier vecteur d’attaque le plus divulgué. Il est suivi des DDoS, des fuites de données, des attaques ciblées, des malwares et injections SQL. Le volume de nouveaux échantillons de logiciels malveillants découvert au second trimestre a atteint les 52 millions. Une augmentation de 67%. Une telle hausse est en partie due à une croissance significative des programmateurs de logiciels malveillants et de Faceliker.

Sur les 12 derniers mois, le nombre total d’échantillons de malwares a croit de 23 % plafonnant à près de 723 millions d’échantillons. Les nouveaux échantillons de ransomware ont encore fortement augmenté ce trimestre (+54%). Leur volume total s’est accru de 47% au cours des 4 derniers trimestres pour atteindre 10,7 millions d’échantillons. Depuis un an, le nombre de malware mobile augmente de 61% et représente 18,4 millions d’échantillons. Les appareils Apple ne sont pas oubliés. Les malwares ciblant Mac OS sont en hausse de 4%, avec 27 000 nouveaux échantillons.

Les cyber-menaces basées sur des scripts

Les chercheurs révèlent également l’augmentation notable de malware basé sur des scripts depuis ces deux dernières années. Le langage de script Microsoft est utilisé pour automatiser les tâches d’administration telles que l’exécution des commandes en arrière-plan, la vérification des services installés sur le système, la fin des processus et la gestion des configurations des systèmes et serveurs. Les scripts malveillants PowerShell arrivent habituellement sur le poste d’un utilisateur par un courrier indésirable, en s’appuyant sur l’ingénierie sociale plutôt que sur des vulnérabilités logicielles. Ils tirent ensuite partie des capacités des scripts pour compromettre le système. Cette tendance comprend également l’armement de JavaScript, VBScript et d’autres types de modules non exécutables utilisant .doc, PDF, .xls, HTML.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, ransomware, Social engineering

Les quatre secteurs d’activité visés par les ransomwares

77 % des ransomwares recensés se concentrent sur quatre secteurs d’activité – services aux entreprises, pouvoirs publics, santé et grande distribution.

Les ransomwares attaquent ! NTT Security, la branche sécurité du groupe NTT, vient de publier l’édition 2017 de son rapport sur l’état des menaces dans le monde (GTIR). Ces tendances mondiales proviennent de l’analyse des données de logs, d’événements, d’attaques, d’incidents et de vulnérabilités recensées entre le 1er octobre 2015 et le 31 septembre 2016. À partir de l’étude des contenus des unités opérationnelles du groupe NTT (NTT Security, Dimension Data, NTT Communications et NTT Data), ainsi que des données du centre mondial de cyberveille (GTIC, anciennement SERT), le rapport met en lumière les dernières tendances en matière de ransomware, de phishing et d’attaques DDoS, tout en démontrant l’impact des menaces actuelles sur les entreprises mondiales.

Dans un contexte de généralisation du phishing comme mécanisme de diffusion de ransomware – type de malware conçu pour bloquer les données ou appareils des victimes et les déverrouiller contre rançon – notre rapport révèle que 77 % des ransomwares détectés dans le monde se concentraient sur quatre secteurs d’activité : services aux entreprises (28 %), pouvoirs publics (19 %), santé (15 %) et grande distribution (15 %).

Certes, les attaques spectaculaires exploitant les dernières vulnérabilités tendent à faire les gros titres. Pourtant, les cas les plus fréquents sont souvent moins technique. Ainsi, selon le GTIR, les attaques de phishing ont causé près des trois quarts (73 %) des infections des entreprises par malware. Les pouvoirs publics (65 %) et les services aux entreprises (25 %) ont été les secteurs les plus touchés au niveau mondial. Le rapport révèle que les États-Unis (41 %), les Pays-Bas (38 %) et la France (5 %) sont les principaux pays d’origine des attaques de phishing.

D’autre part, le rapport révèle également que, l’année dernière, seuls 25 mots de passe ont servi dans près de 33 % des tentatives d’authentification sur les honeypots de NTT Security. Plus de 76 % de ces tentatives utilisaient un mot de passe connu pour son implémentation dans Mirai, un botnet composé d’appareils IoT compromis. Mirai a servi de rampe de lancement dans ce qui était à l’époque les plus grandes attaques de déni de service distribué (DDoS) jamais perpétrées.

Dans le monde, les DDoS ont représenté moins de 6 % des attaques recensées. Toutefois, elles constituaient encore plus de 16 % des attaques venues d’Asie, et 23 % en provenance d’Australie.

De son côté, la finance fut le secteur le plus ciblé au niveau planétaire, concentrant à elle seule 14 % de toutes les attaques détectées. Signe de cette prépondérance, ce secteur est le seul à figurer dans le Top 3 de toutes les zones géographiques analysées, suivie par le secteur industriel qui décroche une place sur ce sombre podium dans cinq régions sur six. La finance (14 %), les pouvoirs publics (14 %) et l’industrie (13 %) ont constitué le trio de tête du classement des secteurs les plus attaqués.

D’après Steven Bullitt, vice-président chargé de la cyberveille et des interventions sur incidents et du GTIC pour NTT Security : « Le GTIR se base sur l’analyse de milliers de milliards de logs de sécurité consignés l’an dernier, ce qui en fait le rapport le plus complet dans ce domaine. Sur les 12 mois étudiés, nous avons identifié plus de 6 milliards de tentatives d’attaques – soit environ 16 millions par jour – et suivi la trace de cybercriminels recourant à quasiment tous les types de méthodes. Nous avons assisté des entreprises victimes de violations de données, collecté et analysé les informations de cyberveille mondiales et effectué nos propres recherches de sécurité. Les recommandations de ce rapport se fondent sur les enseignements que nous en avons tirés. »

« Notre but ultime n’est pas de susciter la crainte, l’incertitude et le doute, ni de compliquer davantage le tableau actuel des menaces, mais plutôt de mettre la cybersécurité en valeur et de s’adresser non pas à un seul public d’initiés, mais à toutes celles et ceux qui doivent faire face aux risques d’une attaque. Nous souhaitons les sensibiliser afin qu’ils comprennent leur responsabilité dans la protection de leur entreprise et l’obligation de cette dernière de les accompagner dans cette démarche. »

Pour en savoir plus sur les principales menaces mondiales mais aussi sur les mesures que le management, les équipes techniques et les utilisateurs peuvent prendre pour réduire leur exposition aux risques de sécurité, rendez-vous sur la page de téléchargement du GTIR 2017 de NTT Security : http://www.nttsecurity.com/fr/GTIR2017

Hacking

HummingBad et compagnie : Le nombre de ransomwares aurait doublé au second semestre 2016

HummingBad et compagnie ! Un rapport révèle que les attaques de logiciels rançonneurs, les ransomwares, ont doublé au second semestre 2016. Sur l’ensemble des incidents de logiciels malveillants reconnus à l’échelle mondiale, le pourcentage d’attaques des maîtres chanteurs 2.0 est passé de 5,5 % à 10,5 % entre juillet et décembre 2016.

HummingBad, Conficker and co ! Le nouveau rapport de Check Point, baptisé Threat Index, du second semestre 2016 présente les tactiques utilisées par les cybercriminels pour attaquer les entreprises, et détaille les principales catégories de logiciels malveillants : rançonneurs, bancaires et mobiles. Il repose sur des renseignements sur les menaces tirés de sa carte Threat Map, entre juillet et décembre 2016. Des chiffres qui ne concernent donc que les clients de la société. Des statistiques présentées dans ce rapport reposent sur des données tirées de la carte Threat Map et du réseau ThreatCloud, le plus grand réseau collaboratif de lutte contre la cybercriminalité, fournissant des données et des tendances sur les menaces et les attaques grâce à un réseau mondial de capteurs. Plus de 250 millions d’adresses analysées pour la recherche de bots, ainsi que plus de 11 millions de signatures de logiciels malveillants et 5,5 millions de sites web infectés.

Le monopole sur le marché des logiciels rançonneurs – Des milliers de nouvelles variantes de logiciels rançonneurs ont été découvertes en 2016, et au cours des derniers mois, nous avons assisté à un changement suite à la consolidation du paysage des logiciels rançonneurs. Quelques familles de logiciels malveillants importantes dominent désormais le marché et frappent les entreprises de toute taille.

Attaques DDoS via les objets connectés – Le botnet Mirai a été découvert en août 2016. Tout premier de sa catégorie, ce botnet de l’Internet des objets s’attaque aux caméras de surveillance (CCTV) et aux enregistreurs vidéo numériques (DVR) vulnérables connectés à Internet. Il les transforme en bots pour lancer de multiples attaques de déni de service distribué (DDoS) à fort volume. On estime que des objets connectés vulnérables sont présents dans presque tous les foyers, et que des attaques DDoS massives les exploitant continueront de persister.

Nouveaux types de fichiers utilisés dans les campagnes de spam – Les téléchargeurs basés sur le moteur de scripts Windows (WScript) ont été le vecteur d’infection le plus répandu utilisé dans les campagnes de spam malveillantes tout au long du second semestre 2016. Rédigés en Javascript (JS) et en VBScript (VBS), ces téléchargeurs ont dominé le paysage de la diffusion de spam malveillant, ainsi que des formats similaires moins courants tels que JSE, WSF et VBE.

HummingBad, Conficker et compagnie : principaux logiciels malveillants du second semestre 2016

1.    Conficker (14,5 %) – Un ver permettant d’effectuer des opérations à distance et de télécharger des logiciels malveillants. Les postes infectés sont contrôlés par un botnet, qui contacte son serveur de commande et de contrôle pour recevoir des instructions.

2.    Sality (6,1 %) – Un virus permettant d’effectuer des opérations à distance et de télécharger des logiciels malveillants supplémentaires dans les systèmes infectés par son opérateur. Son objectif principal est de rester actif dans un système pour le télécommander et installer d’autres logiciels malveillants.

3.    Cutwail (4,6 %) – Un botnet principalement utilisé pour l’envoi de spam et des attaques DDoS. Une fois installés, les bots se connectent directement à leur serveur de commande et de contrôle, et reçoivent des instructions concernant les emails qu’ils doivent envoyer. Lorsque leur tâche est terminée, les bots communiquent à leur opérateur des statistiques précises sur leurs activités.

4.    JBossjmx (4,5 %) – Un ver ciblant les systèmes comportant une version vulnérable du serveur applicatif JBoss. Le logiciel malveillant crée une page JSP malveillante sur les systèmes vulnérables qui exécute des commandes arbitraires. Par ailleurs, une autre porte dérobée est créée pour obtenir des instructions auprès d’un serveur IRC distant.

5.    Locky (4,3 %) – Un logiciel rançonneur dont la diffusion a débuté en février 2016, qui se propage principalement via des emails de spam contenant un téléchargeur déguisé en pièce jointe au format Word ou Zip. Il télécharge et installe un logiciel malveillant chiffrant les fichiers des utilisateurs.
Principaux logiciels rançonneurs du second semestre 2016 : Le pourcentage d’attaques de logiciels rançonneurs a presque doublé durant la seconde moitié de 2016, passant de 5,5 % à 10,5 %.

Les variantes les plus courantes détectées étaient les suivantes

1.    Locky 41 % – Le troisième logiciel rançonneur le plus courant au 1er semestre, qui s’est considérablement répandu durant la seconde moitié de l’année.

2.    CryptoWall 27 % – Le logiciel rançonneur qui était initialement une imitation de CryptoLocker, puis qui l’a finalement surpassé. Après le retrait de CryptoLocker, CryptoWall est devenu l’un des logiciels rançonneurs les plus importants à ce jour. CryptoWall utilise le chiffrement AES et communique avec son serveur de commande et de contrôle via le réseau anonyme Tor. Il est largement diffusé via des kits d’exploitation de vulnérabilités, des publicités malveillantes et des campagnes de phishing.

3.    Cerber 23 % – Le plus important logiciel rançonneur sous forme de service.  Cerber est commercialisé sur le modèle de la franchise. Ses développeurs recrutent des affiliés qui répandent le logiciel malveillant moyennant un pourcentage des bénéfices.

HummingBad, Conficker et les  principaux logiciels malveillants mobiles du second semestre 2016

1.    HummingBad 60 % – Un logiciel malveillant Android installant un rootkit persistant et des applications frauduleuses sur les appareils, qui permettent, à l’aide de légères modifications, des activités malveillantes supplémentaires telles que l’installation d’un enregistreur de frappes, le vol d’identifiants et le contournement des conteneurs chiffrés de courrier électronique utilisés par les entreprises.

2.    Triada 9 % – Une porte dérobée modulaire pour Android accordant des privilèges super-utilisateur aux logiciels malveillants téléchargés pour mieux les intégrer dans les processus système. Triada charge également de fausses URL dans le navigateur.

3.    Ztorg 7 % – Un cheval de Troie utilisant les privilèges root pour télécharger et installer des applications sur des téléphones mobiles à l’insu de leurs utilisateurs.

Principaux logiciels malveillants bancaires du second semestre 2016

1.    Zeus 33 % – Un cheval de Troie ciblant les plates-formes Windows, qui est souvent utilisé pour dérober des informations bancaires via l’enregistrement des frappes et le détournement de formulaires.

2.    Tinba 21 % – Un cheval de Troie bancaire dérobant les informations d’identification des victimes à l’aide d’injections web activées lorsque les utilisateurs tentent de se connecter au site web de leur banque.

3.    Ramnit 16 % – Un cheval de Troie bancaire dérobant les informations d’identification de sites bancaires, mots de passe FTP, cookies de session et données personnelles.

« Le rapport démontre la nature des cybermenaces d’aujourd’hui, » précise Maya Horowitz, Threat Intelligence Group Manager chez Check Point. « Les attaques de logiciels rançonneurs se développent rapidement car elles sont tout simplement efficaces et génèrent des revenus importants pour les agresseurs. Les entreprises rencontrent des difficultés pour lutter efficacement contre ces menaces ; la plupart d’entre elles ne possède pas les bonnes défenses, ni de personnel capable de reconnaître les signes potentiels d’une attaque de logiciel rançonneur dans les emails entrants. »

« Nos données démontrent qu’un petit nombre de familles sont à l’origine de la majorité des attaques, tandis que des milliers d’autres familles de logiciels malveillants sont rarement utilisées, » poursuit Mme Horowitz. « La plupart des cybermenaces sont véritablement mondiales, mais la région Asie-Pacifique se classe cependant au premier rang avec 5 familles de logiciels malveillants qui ne figurent dans aucune autre région. »

Le rapport complet est disponible sur cette page :
http://blog.checkpoint.com/2017/02/21/ransomware-doubled-in-second-half-of-2016/

Android, Chiffrement, cryptage, Cybersécurité, Mise à jour, Sécurité, Smartphone, Social engineering, Téléphonie

En 2016, les ransomwares sous Android ont augmenté de plus de 50%

Sur l’ensemble des logiciels malveillants détectés en 2016, la catégorie des ransomwares a augmenté de plus de 50% par rapport à 2015, le plus fort taux de menaces enregistré.

Ransomwares et compagnie ! Au total, il a constaté une augmentation de près de 20% des logiciels malveillants (tous confondus) sous Android en un an. Sur cette plateforme, les ransomwares sont ceux qui se sont le plus développés. Selon le FBI (1), cette menace aurait rapporté jusqu’à 1 milliard de dollars aux cybercriminels l’année dernière. Avec une forte augmentation au cours du premier semestre 2016, « Nous pensons que cette menace ne disparaîtra pas de sitôt« , déclare Juraj MALCHO, Chief Technology Officer chez ESET.

Au cours des 12 derniers mois, les cybercriminels ont reproduit des techniques identiques à celles utilisées pour la conception de malwares infectant des ordinateurs, afin de concevoir leurs propres logiciels malveillants sur Android : écran de verrouillage, crypto-ransomwares… Ainsi, ils ont réussi à développer des méthodes sophistiquées permettant de cibler uniquement les utilisateurs des différentes versions de cette plateforme.

En plus d’utiliser des techniques d’intimidation comme le « Police ransomware (2) », les cybercriminels chiffrent et cachent la charge utile malveillante sous l’application compromise, afin de rendre sa présence indétectable.

D’après les observations d’ESET, les ransomwares sous Android se concentraient sur l’Europe de l’EST puis sur les États-Unis en 2015, avant de migrer vers le continent asiatique en 2016. « Ces résultats montrent la vitesse de propagation de cette menace, active à l’échelle mondiale », ajoute Juraj MALCHO.

(1) http://money.cnn.com/2016/04/15/technology/ransomware-cyber-security/index.html

(2) Police ransomware : fraude en ligne utilisée pour extorquer de l’argent. Le logiciel malveillant affiche un message demandant le paiement d’une somme d’argent afin de récupérer l’accès à sa machine. Pour intimider l’utilisateur, le message prétexte un comportement illégal de la part de l’utilisateur et utilise des symboles de l’autorité nationale pour contraindre la victime à effectuer le paiement.

Chiffrement, cryptage, Cybersécurité, ransomware

Face aux ransomwares : quels recours pour les entreprises ?

Ces derniers mois ont été le théâtre d’attaques plus ou moins médiatisées de logiciels de rançon ou « ransomwares ». Jusqu’à l’année dernière, ce type d’attaque informatique touchait principalement les particuliers mais 2015 a marqué un tournant en matière de cibles visées. Les entreprises sont de plus en plus victimes de ces attaques que ce soit en raison de leurs ressources financières, ou du type de données qu’elles gèrent comme les bases clientes par exemple. A quoi ressemblent les attaques dont elles font l’objet ? Comment, peuvent-elles s’en prémunir ?

Un logiciel de rançon est un programme informatique rendant inaccessibles les fichiers situés sur l’ordinateur de l’utilisateur mais également sur le réseau de l’entreprise[1]. Il se présente sous la forme d’un add-on dont l’utilisateur a besoin pour lire un fichier (texte, tableur ou vidéo), une fois qu’il est téléchargé, il chiffre les données et supprime les originaux. Un message de rançon est ensuite envoyé à l’utilisateur pour demander un paiement (en argent ou bitcoins) en échange de la clé de chiffrement. Les ransomwares ciblent indistinctement tous les systèmes d’exploitation informatiques (Linux, Windows, Mac OS) et mobiles (Android, iOS). Ceci permet aux groupes malveillants de maximiser leur force de frappe et ce, avec efficacité.

Les attaques de ransomwares subies par les entreprises peuvent être classées en deux grandes catégories. La première regroupe les attaques dont elles sont la cible directe, cela a été le cas de l’hôpital presbytérien de Hollywood en février dernier lorsque la totalité de son système informatique a été paralysé. Face à cela, l’administration n’a pas eu d’autre choix que de transférer une partie de ses patients vers d’autres hôpitaux et payer une rançon de 40 bitcoins (environ 14 400 euros) afin de pouvoir débloquer son système. Au delà des dommages financiers subis par l’hôpital, c’est l’image du centre médical et la confiance des patients quant à la sécurité de leurs données qui ont été endommagées.

La deuxième catégorie d’attaques concerne les attaques visant les clients ou les employés, les entreprises sont alors des victimes collatérales. Prenons l’exemple de Free dont les clients ont été victimes du ransomware Locky. Ici, l’infection se présente sous la forme d’une pièce jointe à un mail d’apparence officielle (facture téléphonique). Une fois que l’utilisateur ouvre la pièce jointe et répare ce fichier « mal codé », le ransomware s’installe et bloque son ordinateur. S’ils n’ont pas d’assistance informatique extérieure, ils n’ont pas d’autre choix que de payer leur rançon pour récupérer l’accès à leur appareil. Seulement, si cette pièce jointe est téléchargée sur leur ordinateur professionnel, ce n’est pas leurs fichiers mais potentiellement tout le réseau de l’entreprise qui est menacé.

Quelle protection pour les entreprises ?

Le ransomware est une menace qui se propage très rapidement sur les réseaux et sa spécificité est le chiffrement. C’est pourquoi l’analyse et la régulation des certificats SSL doivent faire partie de la stratégie sécuritaire de l’entreprise. Aujourd’hui, 25% du trafic internet utilise le protocole SSL et la plupart des entreprises ont confiance en ce protocole de sécurité et préfèrent allouer leurs ressources à l’analyse du trafic non chiffré. Cela équivaut à fermer sa maison avec une porte blindée mais laisser la fenêtre du salon ouverte. Et c’est justement dans cette brèche que s’engouffrent les hackers. De plus en plus, ils utilisent des certificats SSL légitimes pour acheminer leurs ransomwares, Trojans et autres logiciels malveillants au cœur de l’entreprise. Selon les statistiques récupérées par Zscaler, 31% des logiciels malveillants bloqués en entreprises étaient transférés via HTTPS – donc chiffrés avec SSL. Au delà de l’implémentation d’une solution d’inspection du trafic SSL, des mesures telles que la création d’une liste de trafic SSL « certifiée » régulièrement mise à jour contribuent à la sécurisation du réseau de l’entreprise.

Par ailleurs, selon EY[2], 44 % du risque informatique en entreprise provient d’employés négligents ou imprudents. Ce dernier point soulève le problème de la gestion du « Shadow IT ». Par cette expression, il est fait référence aux applications déployées au sein d’une infrastructure sans avoir suivi les processus élaborés pour vérifier leur fonctionnalité, sécurité et capacité à prendre en charge plusieurs utilisateurs. Cela englobe l’usage de solutions telles que Skype, Facebook et dans une certaine mesure le Bring Your Own Device (BYOD). Le rôle du DSI est alors de fournir des applications validées par l’entreprise mais aussi de passer d’une approche « blocage/autorisation » à « gérer et surveiller ». Pour y arriver, le dialogue avec les employés est incontournable, il faut les éduquer aux dangers d’internet tout en surveillant l’émergence des applications qu’ils utilisent afin de ne pas exposer l’entreprise à de nouvelles menaces. Concrètement, cela peut se faire en les impliquant dans le processus de validation des applications autorisées en entreprise ou l’émission de recommandations quant au téléchargement de fichiers à installer autant sur leur ordinateur que leurs terminaux mobiles connectés au réseau de l’entreprise.

Il faut, enfin, s’assurer que la solution de sécurité mise en place en entreprise est capable de détecter les ransomwares et de les éliminer.

Le ransomware est une réalité à laquelle les entreprises ne pourront échapper dans les mois et années à venir. Le principal défi qu’elles devront relever est la surveillance des multiples points d’entrée que le ransomware utilise pour se propager. Pour cela, elles doivent accepter que la menace est réelle et repenser leur sécurité afin qu’elle couvre la totalité de leur réseau. Sans oublier de prendre en compte le facteur humain qui est indissociable de cette menace. (Par Didier Guyomarc’h, Directeur EMEA Sud, Zscaler)

Android, Argent, Arnaque, backdoor, Banque, Chiffrement, cryptage, cryptolocker, Cybersécurité, escroquerie, Logiciels, Particuliers, Smartphone, Social engineering

Malwares mobiles : le volume a triplé en 2015

Le volume de malwares ciblant les utilisateurs d’appareils mobiles a plus que triplé en 2015, comparé à 2014. Les menaces les plus dangereuses observées au cours de l’année dernière sont des ransomwares, c’est-à-dire des malwares capables d’obtenir le contrôle illimité d’un appareil infecté, ainsi que les voleurs de données, y compris les malwares financiers. Ces conclusions sont le résultat du travail de l’équipe de recherche antimalware de Kaspersky Lab, compilées dans son rapport annuel de virusologie.

Les chiffres clés du paysage des menaces mobiles 2015 :
·         884 774 nouveaux programmes malicieux ont été détectés, soit trois fois plus qu’en 2014 (295 539).
Le nombre de Trojans bancaires mobiles a diminué à 7 030, alors qu’ils étaient 16 586 en 2014.
·         94 344 utilisateurs uniques ont été attaqués par un ransomware mobile, soit cinq fois plus qu’en 2014 (18 478).

Explosion du nombre de ransomwares
2015 a été l’année des ransomwares. Une fois un appareil infecté, l’application malicieuse le bloque grâce à une fenêtre pop-up annonçant que l’utilisateur a commis un acte illégal. Pour débloquer son appareil, il doit payer une rançon pouvant aller de 12$ à 100$.

La part d’utilisateurs de produits Kaspersky Lab pour mobiles attaqués par un ransomware est passée de 1,1% à 3,8% entre 2014 et 2015. 156 pays sont concernés par ces attaques, avec en haut de la liste la Russie, l’Allemagne et le Kazakhstan. Le malware Trojan-Ransom.AndroidOS.Small et sa modification, Trojan-Ransom.AndroidOS.Small.o étaient les plus actifs en Russie et au Kazakhstan. Small.o a été le ransomware mobile le plus répondu et détecté l’année dernière. Le nombre de modifications d’applis de ransomware a été multiplié par 3,5, prouvant que les fraudeurs voient un intérêt toujours plus grand à gagner de l’argent grâce au chantage.

En 2016, les malwares vont probablement gagner en complexité et le nombre de modifications va augmenter, augmentant en parallèle le nombre de zones géographiques touchés.

Quand les malwares prennent les pleins pouvoirs (et droits d’accès)
Près de la moitié des 20 plus importants Trojans de 2015 étaient des programmes malicieux diffusant des publicités intrusives sur des appareils mobiles. Les plus répandus l’année dernière étaient les Trojans Fadeb, Leech, Rootnik, Gorpro et Ztorg. Les fraudeurs derrière ces programmes ont utilisé toutes les méthodes à leur disposition pour les propager, à travers des bannières web malicieuses, des faux jeux et d’autres applications légitimes publiées dans des marketplaces légitimes. Dans certains cas, ils étaient présentés comme des logiciels légitimes préinstallés sur l’appareil.

Certaines de ces applis ont la capacité de s’approprier des “super” droits d’accès ou l’accès root. Cela permet aux cyber criminels de disposer de possibilités quasi infinies de modifier les informations stockées sur l’appareil de leur victime. Si l’installation est réussie, il devient presque impossible de supprimer le malware, même après un reset aux paramètres d’usine. Les malwares mobiles pouvant s’octroyer l’accès root sont connus depuis 2011, avec un pic de popularité l’année dernière auprès des cyber criminels. Cette tendance devrait se confirmer en 2016.

Mettre son argent en sécurité
Les Trojans bancaires sont de plus en plus complexes, en dépit d’une diminution du nombre de modifications. La mécanique de ces applis malicieuses n’a pas changé : après avoir infiltré l’appareil ou le système d’un client, le malware se superpose à la page ou à l’application d’une banque. Cependant, l’échelle à laquelle ces malwares peuvent être utilisés s’est accrue en 2015. Maintenant, les cyber criminels peuvent attaquer les clients de douzaines de banques situées dans des pays différents en utilisant un seul type de malware, alors que par le passé ils auraient utilisé des applications malicieuses capables d’attaquer un seul établissement bancaire, voire deux, dans quelques pays. Un exemple d’application aux victimes multiples est le Trojan Acecard, qui dispose d’outils pour attaquer plusieurs douzaines de banques et de services web.

« Avec l’avènement des technologies mobiles, les cyber criminels sont entrés dans une logique de monétisation qui transcende les plates-formes. C’est pourquoi il n’y a rien de surprenant à enregistrer un accroissement de l’activité des ransomwares et autres malwares sur mobiles.  Certains utilisateurs pourraient être tentés de payer, mais cela ne fait que renforcer le modèle des criminels sans aucune garantie de récupérer ses données ou les pleins pouvoirs sur son appareil. Pour limiter les risques, la prudence et la prévention restent encore et toujours la meilleure des protections. » explique Tanguy de Coatpont, directeur de Kaspersky Lab France.

Alerte sur la croissance considérable du malware mobile
Même son de cloche pour Intel Security qui vient de publier un nouveau rapport, intitulé ‘McAfee Labs Threat Report’, sur l’évolution du paysage des menaces ciblant les environnements mobiles.

Tandis qu’historiquement, les cybercriminels concentraient principalement leurs efforts sur les attaques de postes fixes et de PC portables, Intel Security pointe du doigt l’augmentation spectaculaire du nombre de malwares sophistiqués ciblant aujourd’hui les appareils mobiles. L’étude indique qu’au cours des 6 derniers mois, 3 millions d’appareils ont été touchés uniquement par des malwares qui se propagent via les AppStores.

En outre, il a été constaté une nouvelle augmentation de 24 % d’échantillons de malwares mobiles au cours du dernier trimestre 2015 par rapport au trimestre précédent. Parmi les autres chiffres : 37 millions d’échantillons de malware mobile identifié par Intel Security au cours de 6 derniers mois. Plus d’1 million d’URL redirigeant vers des sites malveillants ont été enregistrées sur 4 millions de dispositifs mobiles. Plus de 155 % de ransomwares en 2015 par rapport à l’année passée. 780 millions d’accessoires connectés dans le monde d’ici 2018, là où il en était recensé 500 millions en 2015. « Les appareils mobiles prennent une place prépondérante dans la vie numérique des consommateurs, notamment dans l’usage de services sensibles (banques, achats, etc.). Il est important de veiller à la mise en place d’une protection anti-malware efficace afin de mieux sécuriser les données des utilisateurs », précise John Giamatteo, vice-président chez Intel Security. « Intel Security est très impliqué dans la lutte contre les menaces mobiles, y compris à travers sa collaboration avec des constructeurs grand public, telle que Samsung, pour les aider à mieux intégrer la sécurité en native au sein de leurs produits et permettre aux consommateurs de surfer dans un monde connecté en toute sécurité ».

Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise

Ransomwares au ministère des Transports

Un commentaire

Le problème des ransomwares se développe à grande vitesse. Ces derniers sont de plus en plus utilisés par les pirates informatiques car ceux-ci ont besoin de plus en plus d’argent et cela de plus en plus souvent. Si ceux-ci ne bloquent souvent que certains postes, l’ampleur du phénomène et sa récurrence pourrait en faire une menace plus importante que prévue. Le ministère des Transports en a fait les frais.

Un ransomware cryptographique est un outil malveillant chiffrant une partie des donnés d’un poste de travail. Pour cela, les pirates utilisent des mécanismes de clés publiques et clés privées (générées et téléchargées au moment de l’installation du ransomware). La clé privées étant en possession du hacker, ce dernier exigera de la victime attaquée le paiement d’une rançon, généralement en Bitcoin, afin de disposer de cette clé privée.

Le ransomware cryptographique le plus connu s’appelait CryptoLocker. Il a été éradiqué suite à la dissolution du botnet Gameover Zeus en 2014. Mais un petit nouveau arrive sous le nom de Cryptowall (version 3.0). Il est très proche de CryptoLocker mais surtout apporte de nouveaux mécanisme de non-détection par les outils de protection.

Il est quasiment impossible pour une victime – particulier ou entreprise – de récupérer ses données une fois le ransomware installé – hormis payer et récupérer la clé privée. Toutefois, le paiement de la rançon ne garantit en aucun cas que les criminels fourniront à la victime la clé qui lui permettra de retrouver ses données. Il est donc très important de se protéger contre ce type d’outil malveillant.

Comme DataSecurityBreach.fr vous l’explique depuis des années, les régles pour se protéger sont simple. F5 Networks en rappelle les bases. Ne jamais ouvrir un document venant d’un émetteur inconnu. Vérifier l’émetteur et son adresse. Il est très facile de se faire passer pour quelqu’un lors de l’envoi d’un email. Faire des sauvegardes régulières de ses données. J’avoue que je propose aussi aux entreprises pour je travaille de ne pas hésiter à appeler l’interlocuteur « connu » qui a envoyé le courriel. Est-il l’émeteur ? Est-il l’auteur de la piéce jointe ? Ca prend certe 1 minute de plus dans le traitement de l’information, mais c’est mieux de pleurer des heures, voir des jours devant le compte à rebour du ransomware.

Dernier point, pour que le ransomware puisse récupérer ses binaires et les clés de chiffrement, il devra accéder à Internet pour joindre son serveur. Il est donc important de disposer d’outil de filtrage internet à jour (liste de domains, d’URL et d’IP frauduleuses). Très souvent, les ransomware passent par le réseau Tor pour accéder à leur serveurs. Des outils de filtrages tels que les Passerelles Internet et les pare-feu permettent de contrôler l’accès à ce type de réseaux. L’éducation reste la meilleur des défenses.

BYOD, Cybersécurité, Entreprise, Logiciels, NFC, Social engineering, Téléphonie

Les attaques sur les périphériques mobiles plus nombreuses et plus pernicieuses

La recrudescence des attaques par le biais de logiciels malveillants fait des utilisateurs de terminaux mobiles des cibles de choix pour le chantage ou d’autres manipulations.

Les terminaux mobiles sont toujours plus ancrés dans nos vies personnelles et professionnelles. Les cybercriminels s’attaquent désormais à nous de façon de plus en plus pernicieuse et personnelle : c’est que révèle le rapport Mobile Malware Report 2015 publié par Blue Coat Systems, Inc., leader des solutions de sécurité pour entreprises. Le cyber chantage (les attaques par le biais de ransomwares sur appareils mobiles) est le principal type d’attaque mobile en 2015, accompagné de l’installation furtive de logiciels espions (spywares) afin d’établir le profil des comportements et des habitudes en ligne des victimes. Le nouveau rapport de Blue Coat décrit les toutes dernières tendances et les vulnérabilités en matière de logiciels malveillants pour terminaux mobiles ; fournit des recommandations permettant aux entreprises de renforcer leurs systèmes de défense et d’éduquer les utilisateurs mobiles ; et offre des prédictions concernant les menaces pesant sur les plateformes mobiles.

« Nous dormons, faisons de l’exercice, travaillons et faisons nos achats à l’aide de terminaux mobiles. Tout cela incite les cybercriminels à guetter l’occasion d’exploiter les données que collectent ces appareils, comme le montrent les types de logiciels malveillants et d’attaques que nous avons constatés », déclare à DataSecurityBreach.fr le Dr Hugh Thompson, directeur technique et vice-président senior de Blue Coat. « Les implications de ces activités pernicieuses s’étendent assurément aux systèmes informatiques des entreprises. En effet, les organisations adoptent rapidement des versions cloud et mobiles des applications d’entreprise, ouvrant ainsi une véritable autoroute aux pirates. Une approche globale et stratégique efficace de gestion des risques doit étendre le périmètre de l’entreprise aux environnements mobiles et cloud (suite à une prise en compte réaliste et précise du problème). Elle doit également déployer des systèmes de sécurité avancés capables de hiérarchiser et d’assurer une résilience contre les menaces complexes, émergentes ou inconnues. »

La pornographie fait son retour en tant que principal vecteur de menaces, après avoir été reléguée en deuxième position l’année dernière. Les trois principaux types de logiciels malveillants du rapport de cette année sont les ransomwares (rançongiciels), les logiciels potentiellement indésirables (PUS) et les logiciels favorisant la fuite d’informations. Le paysage des menaces ciblant les terminaux mobiles est par ailleurs de plus en plus actif.

La pornographie
La pornographie ne fait pas simplement son retour au sommet : elle est plus importante que jamais, représentant désormais 36 % des menaces enregistrées cette année, contre 16,55 % en 2014. Ainsi, 36 % des utilisateurs mobiles dont le trafic est dirigé vers un site malveillant ont cliqué sur un lien issu d’un site pour adultes. Pour remettre ces éléments en perspective : lorsque ce type de sites dominait les autres vecteurs dans le rapport de 2013, leur part de marché n’était alors que de 22,16 %.

Les publicités en ligne
Les publicités en ligne passent de presque 20 % l’année dernière à moins de 5 % cette année. Il s’agit ici aussi bien d’attaques par malvertising que de sites hébergeant des chevaux de Troie ciblant les visiteurs de sites pornographiques. Blue Coat a également suivi et identifié des réseaux de publicité en ligne suspects étant activement impliqués dans la diffusion de logiciels malveillants ou potentiellement indésirables (PUS), dans des escroqueries ou d’autres activités malhonnêtes.

Payez en Bitcoins maintenant ou dites adieu au contenu de votre smartphone : les principaux types de logiciels malveillants en 2015

Les ransomwares (rançongiciels)
La catégorie des ransomwares a connu une croissance fulgurante au cours des douze derniers mois. Bien que certaines variétés tournant sur des terminaux Android ne provoquent que des torts limités au-delà de convaincre leurs victimes à payer le preneur d’otage, beaucoup adoptent des approches sophistiquées typiques des ransomwares répertoriés en environnement Windows. Compte tenu des fonctionnalités de plus en plus puissantes des smartphones modernes, il n’était plus qu’une question de temps avant que des ransomwares cryptographiques plus complexes comme SimpleLocker n’apparaissent sur des appareils mobiles. Ces menaces rendent les fichiers musicaux, les photos, vidéos et autres types de documents illisibles. Les pirates réclament généralement un paiement sous une forme impossible à tracer comme le Bitcoin, et imposent un délai strict avant que les fichiers ne deviennent définitivement inaccessibles pour leur propriétaire.

Les logiciels potentiellement indésirables (PUS)
Généralement, ces programmes se comportent comme des logiciels publicitaires (adware) ou espions (spyware) : ils espionnent les activité en ligne et les données personnelles des utilisateurs, ou affichent des publicités. Les chercheurs de Blue Coat constatent une évolution majeure quant au volume de logiciels de ce type parmi les malwares traditionnels (ce qui vaut également pour les équipements mobiles). Le nombre d’applications mobiles inutiles hébergées sur ces sites et classées dans cette catégorie par les chercheurs augmente ainsi constamment. Ces applications mobiles à l’utilité douteuse parviennent fréquemment à pénétrer des appareils mobiles à l’aide de publicités trompeuses ou d’autres attaques par ingénierie sociale, conçues pour pousser la victime à installer des programmes indésirables.

Les logiciels favorisant la fuite d’informations
La plupart des gens ignorent que leur appareil mobile est potentiellement en train de les observer et de transmettre des informations les concernant 24h/24 et 365 jours par an. Ces fuites d’informations sont généralement mineures : il s’agit entre autres de la version du système d’exploitation de leur smartphone, du fabricant, d’une application ou encore du navigateur utilisé. En revanche, les choses se compliquent en raison du fait qu’il n’existe typiquement aucun outil système intégré permettant aux utilisateurs de voir ou de savoir quelles données font l’objet de ces fuites. Qu’il s’agisse d’un terminal Android ou iOS, ces données sont souvent révélées ouvertement dans la chaîne « User-Agent ». Le marché des appareils mobiles est en plein boom et ne présente aucun signe de ralentissement. Les systèmes de paiement sur mobile vont se développer, et les services tels que le paiement sans contact intégreront des fonctionnalités de sécurité supplémentaires, comme l’identification biométrique ou l’authentification forte.

Le rapport de Blue Coat sur la mobilité et les logiciels malveillants : http://dc.bluecoat.com/20152310_EMEA_Malware-Full-Report