L’Internet des objets nuisibles.

Au début des années 2000, je montais sur scène et faisais des prophéties sur le paysage informatique du futur, comme je le fais encore aujourd’hui. A l’époque, j’avais averti qu’un jour votre frigo enverrait un spam à votre micro-onde, et qu’ensemble ils s’en prendraient par le biais d’une attaque par déni de service à votre cafetière. Non, vraiment.

A l’époque, le public fronçait les sourcils, ricanait, applaudissait, et parfois se penchait sur la question d’une telle déclaration d’un « professeur fou ». Mais dans l’ensemble, mon syndrome de Cassandre avait davantage été pris pour une blague, dans la mesure où les cybermenaces de l’époque n’étaient pas autant prises au sérieux. Le « professeur fou » en savait trop…

…Rien qu’à y regarder les journaux d’aujourd’hui…

N’importe quel foyer de nos jours (qu’importe son ancienneté) est équipé de dispositifs « intelligents ». Certains en ont peu (téléphone, télé…), d’autres des tonnes, y compris des caméras IP, des réfrigérateurs, des fours micro-ondes, des machines à café, des thermostats, des fers à repasser, des machines à laver, des sèche-linges, des bracelets de fitness, et plus encore. Certaines maisons ont même été conçues de nos jours avec des dispositifs intelligents déjà inclus dans les caractéristiques techniques. Et tous ces dispositifs intelligents se connectent au Wi-Fi des foyers pour aider à inventer le gigantesque, autonome (et très vulnérable) Internet des Objets, dont la taille dépasse déjà celle de l’Internet traditionnel, que l’on connaît si bien depuis le début des années 90.

Tout connecter à Internet, jusqu’à votre cuisine, est fait pour une raison, bien sûr. Etre capable de contrôler à distance tous vos appareils électroménagers peut s’avérer pratique (pour certains). C’est aussi assez tendance. De quelle façon cet Internet des Objets a-t-il évolué au point que mon syndrome de Cassandre devienne réalité ?

Source

Quelques faits récents :

Vendredi dernier, plus de 80 grands sites web (y compris Twitter, Amazon, Paypal et Netflix) ont tourné au ralenti ou de façon intermittente. Il s’avère que la cause était due à une attaque par déni de service contre l’entreprise Dyn, qui fournit des services DNS pour les sites qui ont été affectés. Vous devez penser, ah les attaques par déni de service, ces choses arrivent occasionnellement sur Internet. Le problème est qu’après avoir creusé plus loin, il s’avère que Dyn a été attaqué par le botnet Mirai, fait de… caméras IP, d’enregistreurs vidéo numériques, et autres éléments connectés à l’Internet des Objets.

Mirai s’avère être un malware assez simple, qui analyse Internet pour les appareils de l’Internet des Objets, se connecte à eux en utilisant les identifiants et les mots de passe, sécurise les droits d’administrateur, et effectue les commandes des hackers. Et puisqu’il est rare qu’un utilisateur change l’identifiant et le mot de passe par défaut sur de tels appareils, recruter plusieurs centaines de milliers de zombies pour le botnet était plutôt simple.

Par conséquent, un simple botnet créé par des amateurs et fait de toutes sortes de dispositifs intelligents a été capable de perturber sérieusement la plupart des plus grands sites Internet dans le monde pendant un certain temps. Le botnet avait déjà fait son apparition auparavant :  lors de l’attaque par déni de service la plus puissante jamais connue, qui avait ciblé le blog de Brian Kreb (avec une puissance de crête atteignant 665 Gbps).

Je suppose que dans un futur proche, beaucoup de popcorn (ou d’antidépresseurs) s’avérera utile.

La taille de Marai est estimée autour de 550 000 bots, tandis que l’ensemble de l’IdO est composé de sept à 19 milliards d’appareils (dans cinq ans, on en prévoit 50 milliards). Combien d’entre eux sont donc vulnérables ? Combien pourraient-être dans le viseur d’attaques d’hackers ? Il s’agit d’une réponse délicate, mais une chose est sûre, c’est que Mirai a ENORMEMENT de potentiel pour provoquer ENORMEMENT de dégâts. Plus particulièrement depuis que le code source du malware a été publié sur les forums informatiques clandestins, ceci veut dire que les techniques sont ouvertement disponibles pour quiconque y présenterait un intérêt, et cela comprend la masse d’amateurs qui ont la folie des grandeurs comme l’Erostrate.

Les propriétaires des appareils infectés de l’Internet des Objets ne se sont certainement pas rendus compte que leurs appareils étaient les victimes d’une attaque, tout comme, en ce moment même, vous ne savez pas si votre caméra IP est utilisée pour une attaque par déni de service, sur telle ou telle ressource. Et les utilisateurs seront difficilement motivés par la hausse imperceptible du trafic sortant pour obtenir une protection de base pour leurs appareils (aussi basique qu’un nouvel identifiant et un mot de passe). Cependant, il existe d’autres cybermenaces qui sont loin d’être bénignes, pouvant transformer une maison intelligente en un horrible cauchemar, tout en vidant le portefeuille de ses propriétaires.

La menace fantôme

Je ne prendrai pas la peine de calculer combien de milliards de dollars les extorqueurs de l’informatique ont empoché ces dernières années, hormis « plusieurs ». Malgré les actions concertées des diverses autorités policières et de l’industrie de la sécurité informatique, une épidémie de ransomwares à chiffrement et de verrouilleurs s’est répandue tellement vite sur Internet, que pour un utilisateur actif n’ayant pas été attaqué et ne connaissant personne l’ayant été, c’est quasiment du jamais vu.

Le business du ransomware fonctionne bien, mais chaque business sur la Terre veut toujours faire mieux. Il introduit des milliards de dispositifs vunérables de l’IdO, à point nommé. Malheureusement, les propriétaires de frigos et de sèche-linges intelligents pensent qu’ils ne représentent pas d’intérêt pour les hackers. Eh bien, d’une certaine façon, ils ont raison : les cybercriminels ne s’intéressent pas aux réfrigérateurs et aux sèche-linges, mais sont cependant très intéressés de les infecter d’un ransomware pour pouvoir en tirer une rançon. Vous voyez où on veut en venir ?

…On en vient là, par exemple (un thermostat).

Source

Votre porte d’entrée ne s’ouvre pas ? Le chauffage s’est arrêté en plein hiver ? La machine à café ne fait plus d’expresso, quoi que vous fassiez ? La télé fait un bruit pas possible ? L’aspirateur fait le cirque ? Hélas, ces exemples de piratage ne sont pas de la science-fiction, ils pourraient facilement se produire dans la vie réelle.

Comme c’est souvent le cas avec les nouveaux marchés, dans la course aux meilleures fonctionnalités, les fabricants de l’IdO ont négligé la sécurité.

Oui, bien sûr, nous sommes là et prêts à aider en apportant une expertise spécialisée et des solutions toutes prêtes (oui, notre laboratoire d’essais commence à ressembler à une boutique d’appareils électroménagers). Cependant, nous ne sommes au courant qu’après un incident, et ne pouvons par conséquent qu’intervenir plus tard après que quelque chose ait mal tourné. Nous ne sommes pas consultés lors de la phase de conception dans la mesure où la sécurité n’est pas jugée importante, et que les utilisateurs ne comprennent pas à quel point les menaces sont réelles.

Ce n’est pas pour rien que les dispositifs intelligents font souvent référence à des dispositifs « intelligents », c’est-à-dire avec les guillemets. Après tout, les cerveaux de ces dispositifs rentrent dans un petit bout de mémoire sur un téléphone portable. Les fabricants ont encore du chemin à faire avant que les dispositifs intelligents puissent être écrits sans les  » « . Et il est difficile de dire aujourd’hui combien de temps sera nécessaire pour aller vers du « vrai » intelligent ; ainsi, « sauver le monde » et ses portefeuilles repose entre nos mains. Par conséquent, je vous suggère mes chers lecteurs, que dès à présent vous vous procuriez au moins une sécurité de base pour tout votre équipement de l’IdO, y compris les routeurs, les imprimantes et tout le reste :

Premièrement : Changez les identifiants et les mots de passe, même s’ils ne sont pas déjà ceux par défaut.

Deuxièmement : Installez les derniers patchs sur les sites des fabricants.

Troisièmement : Mettez une alarme de rappel sur votre téléphone ou agenda électronique tous les trois mois pour vous rappeler de faire les deux choses ci-dessus.

Brian Krebs et même l’Internet tout entier vous en seront reconnaissants, ce qui vous permettra d’éviter ce genre de situation :

Que pourrait-être la prochaine menace de l’Internet des Objets ? @e_kaspersky explique les #ransomwares visant l’IdOTWEET