Cyberprévisions : 2017.

Les Homo Sapiens sont ainsi : nous sommes constamment (même imprudemment) en train de nous tourner vers l’avenir pour essayer de trouver ce qu’il pourrait nous réserver. Plusieurs disent que nous devrions tous vivre au jour le jour (après tout, on ne sait pas de quoi demain est fait), cependant cela ne marche pas pour tout le monde, et la plupart d’entre nous ont besoin de faire au moins quelques plans pour le futur.

Il existe néanmoins différentes approches de regarder devant soi.

Il y a des croyances au destin, des suppositions pures, des superstitions quant au fait de lancer une pièce de monnaie etc. Il n’y a pas non plus de croyances concernant l’avenir. Il existe toutefois une approche scientifique bien supérieure. C’est un peu la spiritualité orientale, celle de ne pas être tout à fait dans le présent, mais à la place d’analyser avec soin le présent – pour être en mesure de prédire l’avenir le plus précisément possible. Et c’est exactement ce qui est fait pour prédire le cyberfutur ; en particulier, la sécurité du cyberfutur. Et c’est ce qu’on fait, peu à peu chaque jour, mais aussi largement, profondément et surtout, joyeusement, chaque année, lorsque nous réunissons l’élite mondiale de la cybersécurité lors d’une assemblée d’une semaine dans une station balnéaire tropicale, cette assemblée que nous appelons le Security Analyst Summit (SAS) :

Oups, mauvaise vidéo. Voici la bonne… :

Ah non, celle-ci :

Je ne sais pas très bien comment cela se fait, mais chaque année, le SAS ne cesse de s’améliorer. Je m’explique, ça a toujours été grâce à l’Équipe internationale de recherche et d’analyse (GReAT), et elle ne cesse de se développer : plus d’experts, une meilleure qualité de contenu, de meilleures idées plus nombreuses, plus lisses, plus cools, avec toujours plus d’exclusivités mondiales et de matériel exclusif.

Et c’est de ce matériel exclusif dont je parlerai dans cet article de blog. Plus particulièrement de mon top 5 des présentations favorites du SAS 2017. Je ne dis pas que les autres n’étaient pas bonne ou sans plus, c’est juste que je n’y étais pas présent, par conséquent je n’ai pas pu toutes les voir dans la mesure où elles avaient lieu simultanément dans différentes salles. De plus, chacun a ses goûts ; eh bien, voici un guide pour les miens !…

C’est parti !…

Les distributeurs automatiques non sécurisés

Il s’agissait d’un rapport de S.G. et I.S sur leurs longues journées et nuits passées à enquêter sur les braquages de guichets automatiques. Un novice n’est pas informé sur à quel point des failles peuvent être vulnérables sur ordinateur lorsqu’elles tombent aux mains des hackers. Mais il s’agit d’un novice, il peut être pardonné. Ce qui est incroyable c’est la façon dont les fabricants de distributeurs automatiques et même les banques ne semblent pas pressés de trouver une solution au problème, pendant ce temps-là, l’échelle du problème grandit chaque jour, aujourd’hui sur une échelle mesurée en milliards de dollars.

Voici une des façons dont des cybercriminels ont vidé des distributeurs automatiques, un trou minuscule a été percé dans le boîtier d’un distributeur automatique à travers lequel un connecteur a été introduit à l’extrémité duquel se trouve un dispositif numérique spécial qui peut littéralement tout contrôler, y compris l’émission d’argent liquide. Cela est rendu possible à la fois par l’absence d’un chiffrement sécurisé et de l’autorisation du système. Oui, vous avez bien lu. Sur un distributeur automatique. Il est plus difficile de s’infiltrer dans un ordinateur, du moins auparavant, jusqu’à ce qu’on étudie cette méthode d’attaque rusée, qui a conduit à l’emprisonnement à la fois des auteurs et des utilisateurs de la méthode d’attaque.

Pendant des années, les fabricants, ont travaillé pour prévenir les braquages sur les distributeurs automatiques, et ont fait du beau travail. Mais attendez mes amis, peut-être serait-il également temps de travailler dur sur la prévention des vols informatiques ?

Détails

Un labyrinthe pour un pingouin au clair de lune.

Ce que j’ai vraiment aimé cette année au SAS c’était l’abondance des enquêtes conjointes. En parlant d’enquêtes conjointes, je me réfère à celles qui sont exécutées par différents experts en sécurité (parfois travaillant pour des concurrents), développeurs et forces de police.

Au début, on pourrait penser que l’industrie de la sécurité est comme un serpentarium, où chaque serpent acteur possède son propre angle et est toujours en quête d’étrangler son voisin et prendre sa part du marché. En réalité (et le SAS en est la confirmation), la principale inquiétude des experts est la sécurité des utilisateurs. Si vous ne pouvez pas faire un boulot tout seul, demandez à un collègue. Il n’y a rien de mal à ça, c’est tout simplement du bon sens, et c’est donc encouragé. Il est incroyable de voir à quel point, malgré la tendance des géopolitiques à aller dans l’autre sens, que les frontière nationales et corporatives dans l’industrie de la sécurité diminuent progressivement de façon importante. Et je ne pouvais pas être plus heureux car il n’y a qu’ensemble que nous pouvons vaincre les cybercriminels, qui sont eux aussi très unis ces derniers temps.

Une telle investigation commune au SAS a été dédiée à la première opération connue de cyberespionnage (Moonlight Maze (1996)) et sa connexion avec les cyberattaques modernes. Ici nous avons travaillé ensemble avec le King’s College London.

Je n’entrerai pas dans les détails ici, je n’ai ni le temps ni l’espace. Cependant voici un lien vers la page contenant tous les détails, jetez-y un coup d’œil, vous ne le regretterez pas : l’enquête se lit comme un scénario de thriller.

Braquage informatique de la Banque Centrale – les résultats de l’enquête commune.

Voici une autre enquête commune réalisée par les experts de Kaspersky Lab et ceux de BAE Systems et de SWIFT.

Vous vous rappelez de l’histoire des 80 millions de dollars détournés à la Banque Centrale du Bengladesh ? Eh bien…

Après en avoir entendu parler, nous avions commencé à creuser de plus en plus profond dans le but de déterrer toutes sortes d’autres cybercrimes commis par le même groupe de cybercriminels. D’ailleurs, nous avions découvert qui était derrière le braquage de la banque centrale …  la Corée du Nord ! Toutefois, cela ne pouvait être confirmé qu’à 100% par les individus eux-mêmes qui en étaient à l’origine. (Et de toute façon, nous ne faisons pas d’attribution, vous vous souvenez ?) En outre, nous aurions pu tomber dans le plus vieux piège : la cyberdésinformation, à la place il reste quelques incohérences et ambigüités. D’un autre côté, si ce sont vraiment les Nord-coréens, nous devons admettre qu’ils sont vraiment très avancés et que nous sous-estimons sérieusement leur potentiel.

Détails

« Un million de dollars et je posséderai votre iPhone ».

Savez-vous à combien ils offrent une vulnérabilité sur iOS sur le marché noir ? Un million de dollars.

Par conséquent, combien coûtent trois vulnérabilités ? Eh bien étant donné que c’est un produit rare et précieux, elles coûteraient trois millions de dollars. Il n’y a pas de rabais au sommet de tout marché, surtout pas pour celui-ci. Pourtant, trois de ces vulnérabilités semblent avoir été achetées pour un cas précis : le programme d’espionnage Pegasus pour les appareils Apple qui utilise trois de ces vulnérabilités pour permettre « la propriété » du kit iOS à n’importe qui. Et vous pensiez qu’Apple était sécurisé ? 🙂

Une attaque se déroule ainsi : un message texte arrive sur le téléphone avec un texte attrayant et un lien vers une ressource ou autre. Si on clique dessus, un malware est chargé sur l’appareil Apple via un exploit, qui, à l’insu de l’utilisateur obtient les droits d’administrateur et exécute les commandes à distance de l’attaquant. Plutôt alarmant, n’est-ce pas ? Eh bien, vous pouvez vous tranquilliser. Tout d’abord, il existe déjà un patch qui a été sorti pour la vulnérabilité iOS (toujours pas actualisé ?) Faites-le dès maintenant !). Deuxièmement, il n’était utilisé que pour des attaques très spécifiques, contre un nombre restreint de cibles concrètes.

Détails

Fait en 11 millisecondes

Qu’est-ce qui peut disparaître (être détourné) si rapidement ?

Un drone, alias un quadrirotor.

Les drones de nos jours sont bon marché, et de ce fait populaires. On paye normalement pour eux afin qu’ils nous prennent des photos et des vidéos de qualité et rapidement, ou payer pour eux-mêmes avec l’argent gagné pour prendre des photos/vidéos pour un client.

Qu’importe, bon marché et accessible (comme vous l’aurez deviné) ne signifie pas sécurisé. Loin de là. Les drones les plus modernes n’ont pas de chaines de transfert de données chiffrées fiables. Ceci signifie qu’ils peuvent être facilement interceptés et contrôlés par un tiers avec une radio et un micro-ordinateur définis par logiciel – en 11 millisecondes. Que se passe-t-il ensuite si c’est seulement limité par votre imagination ? Voler dans des zones restreintes ? A l’intérieur d’une zone démilitarisée ? Atterrir dans une foule de gens du centre-ville ?…

Cette enquête était intéressante non pas seulement parce qu’elle montrait la façon dont les drones pouvaient être attaqués et ensuite abusés ; elle mettait également en lumière les vulnérabilités des appareils stupides intelligents dans l’ensemble. Des frigos et des micro-ondes intelligents, des routeurs, des brosses à dents électriques, même des jouets pour enfants… tout ceci (des milliards d’appareils) tous connectés à Internet et certains d’entre eux faisant déjà de mauvaises choses. La grande majorité de ces objets connectés ne sont pas uniquement potentiellement dangereux pour leurs propriétaires à cause d’un manque de fonctionnalités de sécurité les plus simples, ils sont aussi dangereux pour tous ceux qui se trouvent également autour.

Détails

D’accord mes amis, vous en avez assez eu pour aujourd’hui. A propos, vous pourrez bientôt voir toutes (ou presque toutes) les présentations du SAS sur notre chaîne YouTube.