Après WannaCry et Petya : que faire en cas d’attaque de ransomware ?

Publié dans informaticien.be par zion

1. Isolez
Débranchez aussi vite que possible les appareils tels que les téléphones et les ordinateurs portables. Si vous êtes contaminé par un programme malveillant, retirez aussitôt le câble d’alimentation.

2. Collectez des informations
Qu’est-ce que c’est ? Quel est son mode opératoire ? Comment s’en prémunir ? Des équipes de désastre informatique nationales sont-elles disponibles ? Utilisez les plates-formes les plus pratiques pour diffuser ces informations : Twitter et les blogs de sécurité. Et bien sûr aussi la communication informelle entre entreprises.

3. Segmentez le réseau
Isolez le protocole infecté dans le trafic réseau. C’est une décision difficile : allez-vous contrer la diffusion du programme malveillant ou bien maintenir vos processus métier ?

4. Déployez des contre-mesures
Utilisez des Indicateur de compromission (IOC) et mettez à jour votre Système de détection des intrusions (IDS) et les paramètres du firewall, des systèmes AV et d’autant de serveurs et clients Windows que possible. Dans l’intervalle, les fournisseurs d’anti-virus travaillent évidemment sur une réponse adaptée à l’attaque.

5. Croisez les doigts et espérez
Anticipez l’avenir. Qu’est-ce qui se prépare ? Peut-être une nouvelle variante ? Tous les systèmes ont-ils eu leur patch ? L’organisation doit-elle craindre de figurer dans les journaux demain ? Une chose a-t-elle été perdue de vue dans l’urgence ? Étudiez tous les scénarios et essayez ainsi d’éviter un nouveau problème.

Denis JACOPINI sur C8 explique comment se protéger des arnaques Internet à l’occasion de la sortie de son livre « CYBERARNAQUES S’informer pour mieux se protéger » dans l’émission « C’est que de la télé! » avec Valérie BENAÏM

Internet et les réseaux sociaux ont envahi notre quotidien, pour le meilleur mais aussi pour le pire… Qui n’a jamais reçu de propositions commerciales pour de célèbres marques de luxe à prix cassés, un email d’appel au secours d’un ami en vacances à l’autre bout du monde ayant besoin d’argent ou un mot des impôts informant qu’une somme substantielle reste à rembourser contre la communication de coordonnées bancaires ? La Toile est devenue en quelques années le champ d’action privilégié d’escrocs en tout genre à l’affût de notre manque de vigilance. Leur force ? Notre ignorance des dangers du Net et notre « naïveté » face aux offres trop alléchantes qui nous assaillent.

« Puisse cet ouvrage avoir de nombreux lecteurs ! Il ne devrait pas plaire aux arnaqueurs, car il est un réquisitoire contre leur perfidie et, sans aucun doute, une entrave à leur chiffre d’affaire. »
Général d’armée (2S) Watin- Augouard

Plutôt qu’un inventaire, Denis Jacopini, avec la collaboration de
Marie Nocenti, a choisi de vous faire partager le quotidien de
victimes d’Internet en se fondant sur des faits vécus, présentés
sous forme de saynètes qui vous feront vivre ces arnaques en
temps réel. Il donne ensuite de précieux conseils permettant de
s’en prémunir. Si vous êtes confronté un jour à des circonstances
similaires, vous aurez le réflexe de vous en protéger et en éviterez
les conséquences parfois dramatiques… et coûteuses.
Un livre indispensable pour « surfer » en toute tranquillité !

Denis Jacopini est expert judiciaire en informatique, diplômé en
cybercriminalité et en droit, sécurité de l’information et informatique
légale à l’université de droit et science politique de Montpellier.
Témoin depuis plus de vingt ans d’attaques de sites Internet, de
piratages d’ordinateurs, de dépouillements de comptes bancaires
et d’autres arnaques toujours plus soigneusement élaborées,
il apprend aux professionnels à se protéger des pirates informatiques.

Marie Nocenti est romancière.

Commandez CYBERARNAQUES sur le site de la FNAC

Un technique d’#attaque informatique très répandue : Le « #Watering Hole« 

•    Infection par e-mail (pièce jointe ou un lien malicieux notamment)

•    Infection via le réseau interne (fichiers partagés)

•    Infection par visite d’un site Web

Le « Watering Hole » fait partie de la dernière catégorie : «Infection par site Web », autrement appelé «Drive-By Download». Cette dernière repose sur le principe suivant :

1. Création ou compromission d’un site Web par l’attaquant (accès à l’interface d’administration, compromission des régies publicitaires pour injecter du code au sein des publicités affichées, découverte d’une vulnérabilité de type XSS…)
2. Dépôt du malware sur le site (Ex : code JavaScript offusqué s’exécutant au chargement de la page, iframe contenant un ActiveX ou un applet Java malicieux hébergé sur un autre site, …)
3. Compromission de la machine cliente. La victime est incitée à se rendre ou redirigée de manière automatique sur le site Web hébergeant le malware. Son navigateur exécute le code malicieux et un malware est installé à son insu sur son poste de travail ou son Smartphone, très souvent de manière transparente. L’attaquant dispose alors d’un accès partiel ou complet sur l’appareil infecté.

Simple attaque de type « Drive-by Download » ?
La subtilité de cette attaque réside dans le choix des sites Web initialement compromis (cf étape 1). En effet, en fonction de la cible, le choix est principalement réalisé en fonction de la localité de l’entité ciblée ou en lien avec son métier.

Plusieurs cas concrets récents peuvent être cités en exemple :

• Professionnel : (politique/religieux/syndical…) Dans le cas d’Apple, de Microsoft ou de Facebook en février dernier, le site Web compromis était un site Web consacré au développement sur iPhone (iphoneDevSDK), site susceptible d’être visité par les développeurs des trois sociétés. La population cible peut également être plus restreinte comme l’illustre la compromission du site « http://www.rferl.org (Radio Free Europe Radio Liberty) ».
• Géographique : En Septembre 2012 lors de l’attaque VOHO[1], les cybercriminels avaient compromis un site gouvernemental local au Maryland, celui d’une banque régionale dans le Massachusetts afin de compromettre les machines de populations spécifiques résidant ou travaillant dans les localités ciblées.
• Et pourquoi pas Personnel : Il est tout à fait possible de voir le site du club de sport ou de musique où les enfants de la victime sont inscrits, être compromis…

Pourquoi utiliser cette méthode plutôt qu’une autre ?
En comparaison de l’envoi de phishing par exemple, cette méthode présente de nombreux avantages pour les attaquants :watering hole – scalable

Scalable :
Elle permet de couvrir un grand nombre de victimes « facilement ». Le «Drive-By Download» est largement utilisé dans le domaine de la #cybercriminalité permettant de compromettre un très grand nombre de machine rapidement ;

L’exploitation de vulnérabilités Java ou Adobe Flash récentes, peuvent permette de contourner les mécanismes de cloisonnement au sein des navigateurs Web et ainsi de couvrir de nombreux systèmes d’exploitation et navigateurs Web vulnérables différents

Efficace :
Couplée avec l’exploitation d’une vulnérabilité de type « 0-day », le taux d’infection peut être très élevé. Le rapport sur la campagne « VOHO »[2] publié par RSA et portant sur des attaques par « Watering Hole » recensait 32 160 machines infectées appartenant à 731 organisations pour un taux d’infection de 12%.

Discret :
Aucune action de l’utilisateur n’est nécessaire si ce n’est d’aller visiter ses sites Web habituels. L’absence de signaux rend également l’identification de la source de l’infection difficile. Enfin, la possibilité de filtrer les postes infectés (classe IP, langue du navigateur, localité …) permet de restreindre les dommages collatéraux et donc de limiter la visibilité de l’attaque.

Cette méthode présente cependant un certain nombre d’inconvénients :

• Potentiellement, une phase de reconnaissance, consistant à identifier sur quels sites se rendent les futures victimes
• Une phase de compromission de sites légitimes est nécessaire : les attaquants peuvent cependant identifier les sites vulnérables via des scans automatisés.
• Les attaquants doivent réaliser une analyse post-infection afin de déterminer, pour chaque poste compromis, quel type de profil a été infecté et si le profil correspond à la cible (société, fonction, …)

A noter que le filtrage effectué afin de réduire le périmètre des postes compromis émergent également au sein des attaques par phishing.

Quels sont les mécanismes de défense ?
Face à ce type de menace, il n’existe pas de solution « miracle ». Il convient donc d’appliquer des bonnes pratiques afin de limiter les risques d’infection et d’être réactif en cas de compromission :

1. [Mise  à jour du parc] – On constate que les vulnérabilités exploitées sont le plus souvent liées aux technologies Java ou à Adobe Flash. A minima, il convient de maintenir à jour le parc applicatif. Cependant, cette mesure peut ne pas être suffisante (cas des 0-day). Nous recommandons donc de les désinstaller lorsqu’ils ne sont pas nécessaires.
2. [Filtrage Web] – Mettre à jour régulièrement en ajoutant automatiquement et au besoin manuellement les sites connus comme hébergeant des malwares au sien des listes noire des équipements de filtrage Web (nécessite de disposer d’un service de veille). De manière plus radicale, il est envisageable d’imposer la navigation Web pour des populations sensibles depuis des postes séparés du reste du réseau de l’entreprise.
3. [Durcissement des postes] – Des mécanismes de contournement peuvent également être mis en place. Pour Java par exemple, il est possible de configurer le niveau de sécurité sur « high » de manière à n’exécuter les applets non signés qu’après validation manuelle de l’utilisateur. Des mesures similaires peuvent être appliquées sur le plug-in Flash. Il est aussi  possible de pousser des plugins comme « NoScript » afin d’interdire l’exécution de code JavaScript, Flash, Java …

Conclusion
La compromission par « Watering Hole » partage les mêmes objectifs que par « spear-phishing » et la même méthode d’infection que les attaques par « Drive-by download ».

Cette combinaison est ainsi surtout utilisée pour des attaques cherchant à s’introduire au sein d’une organisation, quel que soient les postes compromis.

Avec le temps et grâce aux campagnes de sensibilisations, les utilisateurs et en particulier les populations VIP sont de plus en plus précautionneuses quant à l’ouverture des pièces jointes aux courriels. Les attaques par « Spear-phishing » sont ainsi complétées par des attaques de type « Watering-Hole » qui ne nécessitent aucune action de la part de la victime si ce n’est de visiter ses sites Web habituels…

Pourquoi ne pas partager l’avertissement mettant en garde contre le pirate Jayden K. Smith ?

« S’il te plaît dis à tous tes contacts de ta liste messenger de ne pas accepter la demande d’amitié de Jayden K. Smith. C’est un hacker et a un système connecté à votre compte facebook. Si un de tes contacts l’accepte, tu seras aussi piraté, aussi assures toi que tous tes contacts le sachent. Merci. Retransmis tel que reçu. Gardes ton doigt appuyé sur le message. En bas, au milieu il sera dit transmettre. Appuyer dessus et cliquer sur les noms qui sont sur ta liste et cela leur sera envoyé. »

Voilà le message que vous avez peut-être reçu ce matin via Messenger. Il s’agit d’une nouvelle chaîne totalement infondée, comme l’ont fait remarquer certains médias outre-Atlantique. Le message est juste une traduction d’un texte en anglais qui est devenu viral un peu partout dans le monde la semaine dernière…[lire la suite]

L’avis de notre Expert Denis JACOPINI

Même s’il nous paraît difficile de pirater un compte Facebook par une simple lecture ou une demande d’ami, nous recommandons de ne pas partager ce message et de simplement le supprimer ou l’ignorer.

Ces canulars peuvent aussi bien prendre la forme d’un faux virus, d’une chaine de solidarité (comme ici), d’un gain hypothétique, d’une pétition ou d’une fausse information destinée à influencer l’opinion publique.

Vous pouvez aisément comprendre que les intérêts ne sont pas tous dans un but de vous arnaquer ou vous soutirer de l’argent. Certains auteurs de ces chaines recherchent la fierté d’avoir leur message qui fait le tour de la planète, d’autres de saturer les réseaux avec des messages inutiles mais les plus dangereux sont ceux qui vous demandent de cliquer ou de partage.

Même si je suis certains que vous êtes vigilants lorsqu’on vous demande de télécharger ou d’exécuter un programme, vous l’êtes certainement bien moins lorsque vous partagez un message à vos amis. L’expéditeur peut du coup disposer et utiliser de manière malveillante des informations sur eux.

Denis JACOPINI et Julien COURBET vont parler du livre « CYBERARNAQUES S’informer pour mieux se protéger » ce jeudi sur C8 dans l’émission « C’est que de la télé! »

« Puisse cet ouvrage avoir de nombreux lecteurs ! Il ne devrait pas plaire aux arnaqueurs, car il est un réquisitoire contre leur perfidie et, sans aucun doute, une entrave à leur chiffre d’affaire. »
Général d’armée (2S) Watin- Augouard

Denis JACOPIN et Julien COURBET en parlent en parle ce jeudi sur C8 dans l’émission « C’est que de la télé! ». https://www.mycanal.fr/chaines/c8

Plutôt qu’un inventaire, Denis Jacopini, avec la collaboration de
Marie Nocenti, a choisi de vous faire partager le quotidien de
victimes d’Internet en se fondant sur des faits vécus, présentés
sous forme de saynètes qui vous feront vivre ces arnaques en
temps réel. Il donne ensuite de précieux conseils permettant de
s’en prémunir. Si vous êtes confronté un jour à des circonstances
similaires, vous aurez le réflexe de vous en protéger et en éviterez
les conséquences parfois dramatiques… et coûteuses.
Un livre indispensable pour « surfer » en toute tranquillité !

Denis Jacopini est expert judiciaire en informatique, diplômé en
cybercriminalité et en droit, sécurité de l’information et informatique
légale à l’université de droit et science politique de Montpellier.
Témoin depuis plus de vingt ans d’attaques de sites Internet, de
piratages d’ordinateurs, de dépouillements de comptes bancaires
et d’autres arnaques toujours plus soigneusement élaborées,
il apprend aux professionnels à se protéger des pirates informatiques.

Marie Nocenti est romancière.

#TCP Stealth : Un nouveau logiciel pour se protéger des cybercriminels

Baptisé « TCP Stealth », ce programme peut empêcher la détection des systèmes sur le net lors d’attaques par balayage de ports, ainsi que la prise de contrôle massive de ces systèmes. Ce logiciel, gratuit, nécessite tout de même certaines connaissances en informatique et systèmes pour être utilisé. Un usage plus large nécessitera encore une phase de développement. Cet outil peut venir en complément des pare-feux, antivirus et réseaux privés virtuels qui ne protègent que partiellement face à de telles attaques.

La connexion d’un utilisateur à un serveur se fait à travers un protocole de transport fiable (TCP). Afin d’accéder au service souhaité par l’utilisateur, sa machine envoie une demande au serveur. La réponse du serveur contient parfois des données susceptibles d’être utilisées pour mener des attaques. Le logiciel développé se fonde sur le principe suivant : un nombre est partagé uniquement entre la machine d’un utilisateur et le serveur. Sur la base de ce numéro, un code secret est généré puis transmis de manière invisible au serveur lors de la mise en connexion. Si le code reçu par le serveur n’est pas correct, le système ne répond pas et ne transmet donc pas d’informations au possible pirate.

De tels moyens de défense sont déjà connus, mais le logiciel développé est présenté par les chercheurs comme un outil de protection plus fiable, car il gère également une variante de cette attaque. Il est ici question d’attaques générées lors de l’échange de données entre l’utilisateur et le serveur, mais cette fois-ci dans le cas où la connexion est déjà établie. Les données envoyées par l’utilisateur au serveur peuvent être, à ce stade, encore interceptées et modifiées. Afin d’empêcher cette attaque et suivant le même principe que précédemment, un code secret intégré au flux de données est également envoyé au serveur. Le serveur reconnaîtra alors si le contenu est conforme à l’original.

Le logiciel est disponible au téléchargement à l’adresse suivante :
https://gnunet.org/knock.

Les personnes intéressées peuvent également participer à son développement.
Christian Grothoff, chercheur à la TUM, faculté d’architecture des réseaux et services
email : knock@gnunet.org

Wifi gratuit: Attention à vos données personnelles !

Pourquoi le vol de données personnelles devient-il de plus en plus commun ?

« Dans ce type de cas, la faute ne repose pas uniquement sur les hackers. Il faut aussi prendre en compte le comportement des entreprises et celui des utilisateurs finaux face à la sécurisation des accès.

Commençons par les hackers. De nos jours, il n’est pas nécessaire d’avoir un groupe sophistiqué et étendu de pirates informatiques expérimentés pour perpétrer les plus gros cyber-crimes. Aujourd’hui une simple recherche Internet permet à quiconque de rapidement trouver toutes les informations nécessaires pour pénétrer les systèmes informatiques vulnérables. Les pirates informatiques ont même cartographié toutes les vulnérabilités de la toile, et le tout est disponible en ligne. De plus, avec l’avènement du cloud, les hackers ont une porte d’entrée supplémentaire pour accéder aux données des entreprises. On entend régulièrement parler dans nos médias de la sécurité, ou plutôt du manque de sécurité lié au cloud.

Continuons avec les entreprises. Le cloud n’est pas le cœur du problème. Le problème de fond est que les entreprises ne mettent pas assez l’accent sur la sécurité des accès, que ça soit au niveau des accès cloud, aux applications d’entreprise, ou aux applications Web. Tant que les entreprises n’auront pas assimilé le caractère critique de la protection des mots de passe, ce type de hack continuera de se multiplier.

Enfin, il faut s’intéresser au comportement des utilisateurs finaux, qui ne facilitent pas la tâche des entreprises en matière de sécurité des mots de passe. En effet, de nombreuses études l’ont révélé récemment, par souci de facilité, les mots de passe utilisés sont souvent très (trop) simples. Les utilisateurs utilisent les mêmes mots de passe pour accéder à leurs comptes bancaires, messagerie électronique qu’elle soit personnelle ou professionnelle, et compte Facebook, par exemple. Ce comportement est une aubaine pour les cybercriminels. En laissant aux utilisateurs finaux le choix de leurs mots de passe, nous confions tout simplement une étape cruciale dans le processus de sécurisation des données à ceux qui sont les moins qualifiés et surtout les moins préoccupés par la sécurité informatique. Vous comme moi, nous n’avons pas envie d’avoir à nous souvenir de mots de passe compliqués et différents pour chaque compte que nous devons utiliser au quotidien. C’est donc bien notre propre comportement en tant qu’utilisateur qui constitue le plus gros risque.

On ne peut empêcher un hacker d’agir, mais on peut le stopper aux portes de l’entreprise en ayant des solutions de sécurité globale prenant en compte toutes les potentielles portes d’entrée. C’est pourquoi il est impératif que des solutions de gestion des identités et des accès soient intégrées dans les projets de sécurité des entreprises, au même titre que peut l’être la sécurisation des réseaux, ou des terminaux. »

Denis JACOPINI sur Europe 1 parle de son livre « CYBERARNAQUES S’informer pour mieux se protéger » dans l’émission « Bonjour la France »  avec Daphné BURKI et Ariel WIZMAN

Denis JACOPINI en parle ce jeudi 14 avril 2018 en direct sur Europe 1 dans l’émission « Bonjour la France »  avec Daphné BURKI et Ariel Wizman

http://www.europe1.fr/emissions/bonjour-la-france

Plutôt qu’un inventaire, Denis Jacopini, avec la collaboration de
Marie Nocenti, a choisi de vous faire partager le quotidien de
victimes d’Internet en se fondant sur des faits vécus, présentés
sous forme de saynètes qui vous feront vivre ces arnaques en
temps réel. Il donne ensuite de précieux conseils permettant de
s’en prémunir. Si vous êtes confronté un jour à des circonstances
similaires, vous aurez le réflexe de vous en protéger et en éviterez
les conséquences parfois dramatiques… et coûteuses.
Un livre indispensable pour « surfer » en toute tranquillité !

Denis Jacopini est expert judiciaire en informatique, diplômé en
cybercriminalité et en droit, sécurité de l’information et informatique
légale à l’université de droit et science politique de Montpellier.
Témoin depuis plus de vingt ans d’attaques de sites Internet, de
piratages d’ordinateurs, de dépouillements de comptes bancaires
et d’autres arnaques toujours plus soigneusement élaborées,
il apprend aux professionnels à se protéger des pirates informatiques.

Marie Nocenti est romancière.

Denis JACOPINI sur Europe 1 parle de son livre « CYBERARNAQUES S’informer pour mieux se protéger » ce jeudi 12 avril 2018 en direct dans l’émission « Bonjour la France »  avec Daphné BURKI et Ariel WIZMAN

Plutôt qu’un inventaire, Denis Jacopini, avec la collaboration de
Marie Nocenti, a choisi de vous faire partager le quotidien de
victimes d’Internet en se fondant sur des faits vécus, présentés
sous forme de saynètes qui vous feront vivre ces arnaques en
temps réel. Il donne ensuite de précieux conseils permettant de
s’en prémunir. Si vous êtes confronté un jour à des circonstances
similaires, vous aurez le réflexe de vous en protéger et en éviterez
les conséquences parfois dramatiques… et coûteuses.
Un livre indispensable pour « surfer » en toute tranquillité !

Denis Jacopini est expert judiciaire en informatique, diplômé en
cybercriminalité et en droit, sécurité de l’information et informatique
légale à l’université de droit et science politique de Montpellier.
Témoin depuis plus de vingt ans d’attaques de sites Internet, de
piratages d’ordinateurs, de dépouillements de comptes bancaires
et d’autres arnaques toujours plus soigneusement élaborées,
il apprend aux professionnels à se protéger des pirates informatiques.

Marie Nocenti est romancière.