Archives mensuelles : septembre 2020

Ransomware : on ne rigole plus

Pour commencer, petit retour en arrière…

Le 10 septembre, le ransomware-malware DoppelPaymer a chiffré 30 serveurs d’un hôpital de la ville allemande de Düsseldorf, suite à quoi le débit de patients malades s’est effondré. Il y a une semaine, à cause de cette baisse, l’hôpital n’a pas pu accepter une patiente qui devait être opérée en urgence et l’a redirigée vers l’hôpital de la ville voisine. Elle est décédée pendant le trajet. Il s’agit du premier décès directement lié à l’attaque d’un ransomware.

Cette histoire est très triste, surtout lorsque l’on y regarde de plus près : il y a eu  » l’accident  » fatal (en supposant que les cybercriminels n’avaient pas prévu que leurs mauvaises actions provoqueraient un décès), une négligence évidente des règles de base à suivre en matière de cybersécurité et une incapacité des autorités policières à appréhender l’organisation criminelle impliquée.

Les cybercriminels ont pu attaquer le réseau de l’hôpital grâce à une vulnérabilité (Shitrix) dans les serveurs Citrix Netscaler qui avait pourtant été corrigée en janvier. Il semblerait que les administrateurs système aient attendu trop longtemps avant d’installer le patch et, pendant ce temps, des personnes mal intentionnées ont pu pénétrer dans le réseau et installer une porte dérobée.

Jusque-là ce sont les faits. À partir de maintenant ce n’est qu’une hypothèse impossible à confirmer mais qui semble tout de même très probable…

En lire plus :Ransomware : on ne rigole plus

Apprenez à utiliser les règles YARA : comment prédire les cygnes noirs

Il y a bien longtemps que l’humanité n’avait pas connu une telle année. Il ne me semble pas avoir vécu une année avec autant de cygnes noirs de types et de formes si différents. Il est évident que je ne parle pas de ceux qui ont des plumes. Il s’agit plutôt d’événements inattendus qui ont des conséquences considérables, selon la théorie de Nassim Nicholas Taleb que ce dernier a présenté dans son livre Le Cygne noir: La puissance de l’imprévisible en 2007. Un des principes de cette théorie est, qu’avec le recul, les événements surprenants qui se sont déjà produits s’avèrent être évidents et prévisibles. Pourtant, personne ne les avait anticipés avant qu’ils n’aient lieu.

Les experts en cybersécurité peuvent gérer l’ambigüité des cygnes noirs et les prédire grâce à YARA

Prenons un exemple : cet épouvantable virus qui a mis le monde entier en quarantaine depuis mars. Il s’avère qu’il existe toute une grande famille de Coronaviridae, plusieurs dizaines, et qu’on en trouve régulièrement de nouvelles mutations. Les chats, les chiens, les oiseaux ou encore les chauves-souris. Tous attrapent ce virus. Les humains aussi. Certains virus ne causent qu’un simple rhume alors que d’autres se manifestent… différemment. Il ne fait aucun doute que nous devons trouver un vaccin pour toute cette famille comme nous l’avons fait pour toutes les autres maladies mortelles : variole, polio, etc. Oui, mais avoir un vaccin n’est pas toujours la solution. Regardez la grippe… il n’y a aucun vaccin immunisant et ce depuis combien de siècles maintenant ? Quoi qu’il en soit, avant de commencer à développer un vaccin vous devez savoir ce que vous recherchez et il semblerait que cela relève plus de l’art que de la science.

Pourquoi est-ce que je vous raconte tout cela ? Quel est le lien… Il s’agit forcément de cybersécurité ou d’un voyage exotique, n’est-ce pas ?! Aujourd’hui, nous allons nous concentrer sur le premier élément.

Les zero-day sont une des cybermenaces existantes les plus dangereuses : ces vulnérabilités de logiciel rares et inconnues (pour les experts en cybersécurités et autres) peuvent causer d’importants et d’atroces dégâts à grande échelle, et ont tendance à rester cachées jusqu’à ce qu’elles soient exploitées, ou à n’être découvertes qu’après.

Pourtant, les experts en cybersécurité ont des outils qui leur permettent de gérer l’ambigüité des cygnes noirs et de les prédire. Je souhaite vous parler de l’un d’entre eux : YARA.

L’équipe GReAT de Costin Raiu a examiné les e-mails de Hacking Team et a établi une règle YARA, capable de détecter un exploit zero-day, à partir de presque rien

Pour faire simple, YARA aide à rechercher et détecter un malware en identifiant les fichiers qui répondent à certains critères et en adoptant une approche qui repose sur des règles afin de décrire les familles de malware selon leurs modèles textuels ou binaires. Tout cela semble bien compliqué. Continuez à lire, vous allez comprendre. Cet outil est donc utilisé pour rechercher des malwares similaires après avoir identifié un modèle. L’objectif est de pouvoir dire que certains programmes malveillants semblent avoir été inventés par les mêmes cybercriminels et à des fins similaires.

Utilisons une autre métaphore, comme celle du cygne noir et avec de l’eau : la mer.

Imaginons que votre réseau est l’océan, avec des milliers de poissons différents, et que vous êtes un pêcheur parti au large sur son bateau qui lance d’énormes filets dérivants pour pêcher. Attention, seules quelques espèces de poissons vous intéressent : les malwares créés par un groupe spécifique de pirates informatiques. Votre filet dérivant est spécial maintenant. Il dispose de plusieurs compartiments et seuls les poissons d’une espèce en particulier (caractéristiques du malware) peuvent être mis dans le compartiment correspondant.

Lorsque vous remontez le filet vous avez beaucoup de poissons, tous compartimentés. Certains sont relativement récents, d’autres sont tout à fait inédits (nouveaux échantillons de malware) et vous ne savez pas grand-chose de ces exemplaires. Pourtant, vous avez des poissons dans des compartiments, par exemple « Ressemble à l’espèce [du groupe de cybercriminels] X » ou « Ressemble à l’espèce [du groupe de cybercriminels] Y ».

Voici un article qui illustre la métaphore du poisson et du pêcheur. En 2015, notre gourou YARA et directeur de GReAT, Costin Raiu, s’est complètement transformé en Sherlock Holmes de l’informatique pour trouver un exploit dans le logiciel Silverlight de Microsoft. Je vous conseille vivement de lire cet article mais, en résumé, Raiu a minutieusement examiné certains échanges d’e-mails que les cybercriminels ont divulgués pour établir une règle YARA à partir de presque rien, et c’est ainsi qu’il a pu trouver l’exploit et protéger le monde entier d’un très gros problème. Les e-mails avaient été envoyés par une entreprise italienne qui s’appelle Hacking Team… Des cybercriminels qui piratent d’autres cybercriminels !

Revenons-en aux règles YARA…

Les particpants reçoivent un certificat à la fin du cours qui confirme leur nouveau statut de ninja YARA. Certains nous ont dit que cette formation les a vraiment aidés dans leur carrière professionnelle

Nous enseignons l’art de la création des règles YARA depuis des années. Les cybermenaces que YARA nous a permis de découvrir sont assez complexes. C’est pourquoi ce cours est toujours présentiel, hors-ligne, et réservé à un nombre réduit de participants qui sont les meilleurs chercheurs en cybersécurité. Depuis mars, et à cause du confinement, il n’a pas été facile d’organiser une formation dans le monde réel. Le besoin de se former n’a pas pour autant disparu et l’intérêt porté à nos cours n’a pas diminué.

C’est tout naturel : les cybercriminels ne cessent d’imaginer de nouvelles attaques encore plus sophistiquées, surtout pendant la quarantaine. Par conséquent, il était tout simplement inacceptable de ne pas partager nos connaissances spécialisées sur YARA. Nous avons donc (1) adapté le format de la formation pour qu’elle puisse être faite en ligne et (2) l’avons rendue accessible à tout le monde. Elle n’est pas gratuite mais le prix est très compétitif et au niveau du marché pour un cours de ce niveau-là (le plus élevé).

Le voilà :

En lire plus :Apprenez à utiliser les règles YARA : comment prédire les cygnes noirs

Flickr photostream

  • KLHQ
  • KLHQ
  • KLHQ
  • KLHQ

Instagram photostream

Cybersécurité : la nouvelle dimension de la qualité automobile

Il semblerait que beaucoup de personnes pensent que les véhicules du 21ème siècle sont des dispositifs mécaniques. Il est vrai qu’un peu d’électronique a été ajouté pour une raison ou pour une autre, et que certains modèles en ont plus que d’autres mais, en fin de compte, ce travail relève du génie mécanique : châssis, moteur, roues, volant, pédales… L’électronique, qui s’avère parfois être un ordinateur, ne fait qu’aider tout le mécanisme. C’est son devoir puisque de nos jours les tableaux de bord sont un océan de données numériques avec seulement quelques affichages analogiques.

Bon, je vais être clair : les choses sont bien différentes !

De nos jours, une voiture est un ordinateur spécialisé, un « cyber-cerveau », qui contrôle les aspects mécaniques et électroniques que nous avions pour habitude d’associer au mot « voiture » : le moteur, les freins, les clignotants, les essuie-glaces, la climatisation et tout le reste.

Avant, par exemple, le frein à main était 100 % mécanique. Vous tiriez d’un coup sec, avec votre « main » (difficile à croire ?!) et il grinçait, tout comme vous. De nos jours, vous appuyez sur un bouton. 0 % de mécanique. Contrôle par ordinateur à 100 %. Il en est de même avec presque tous les éléments.

Ensuite, beaucoup pensent qu’un véhicule autonome est une voiture conduite par un ordinateur. Pourtant, s’il y a quelqu’un au volant de cette nouvelle voiture alors c’est cette personne qui conduit (et non l’ordinateur). « Bien sûr, ne soyons pas ridicule ! »

Je dois encore corriger cette affirmation : ce n’est pas comme ça !

Avec la plupart des véhicules modernes actuels, la seule différence entre les autonomes et ceux conduits par un humain sont que, dans ce dernier cas, l’humain contrôle les ordinateurs de bord. Lorsqu’il s’agit d’un véhicule autonome, les différents ordinateurs de la voiture sont contrôlés par un ordinateur principal, central et très intelligent, développé par des entreprises comme Google, Yandex, Baidu ou Cognitive Technologies. L’ordinateur reçoit la destination, observe tout ce qui se passe autour de lui et décide comment se rendre jusqu’à la destination (à quelle vitesse, en suivant quel itinéraire, etc. selon des algorithmes super-intelligents mis à jour chaque nanoseconde).

Courte histoire de la numérisation des véhicules à moteur

Quand sommes-nous passés de la mécanique au numérique ?

Certains experts dans ce domaine estiment que l’informatisation de l’industrie automobile a commencé en 1955, lorsque Chrysler proposait un transistor en option sur un de ses modèles. D’autres, qui pensaient que la radio n’était pas vraiment une caractéristique automobile, considèrent que ce fut l’introduction de l’allumage électronique, de l’ABS ou des systèmes électroniques de commande du moteur qui ont amené l’informatisation automobile (par Pontiac, Chrysler et GM en 1963, 1971 et 1979 respectivement).

Peu importe quand ce processus a commencé, ce qui s’en est suivi a été peu différent : encore plus d’électronique. Puis les choses sont devenues de plus en plus numérique et il a été de plus en plus difficile de faire la distinction entre ces deux aspects. Pour ma part, je considère que la révolution numérique des technologies automobiles a commencé en février 1986 lorsque, lors de la convention de la Society of Automotive Engineers, l’entreprise Robert Bosch GmbH a présenté au monde son protocole de réseau numérique pour que les composants électroniques de la voiture puissent communiquer : le bus de données CAN (controller area network). Il faut dire ce qui est : le protocole inventé par ces ingénieurs de Bosch est encore pertinent de nos jours et utilisé par presque n’importe quel véhicule dans le monde !

En lire plus :Cybersécurité : la nouvelle dimension de la qualité automobile