Apprenez à utiliser les règles YARA : comment prédire les cygnes noirs

Il y a bien longtemps que l’humanité n’avait pas connu une telle année. Il ne me semble pas avoir vécu une année avec autant de cygnes noirs de types et de formes si différents. Il est évident que je ne parle pas de ceux qui ont des plumes. Il s’agit plutôt d’événements inattendus qui ont des conséquences considérables, selon la théorie de Nassim Nicholas Taleb que ce dernier a présenté dans son livre Le Cygne noir: La puissance de l’imprévisible en 2007. Un des principes de cette théorie est, qu’avec le recul, les événements surprenants qui se sont déjà produits s’avèrent être évidents et prévisibles. Pourtant, personne ne les avait anticipés avant qu’ils n’aient lieu.

Les experts en cybersécurité peuvent gérer l’ambigüité des cygnes noirs et les prédire grâce à YARA

Prenons un exemple : cet épouvantable virus qui a mis le monde entier en quarantaine depuis mars. Il s’avère qu’il existe toute une grande famille de Coronaviridae, plusieurs dizaines, et qu’on en trouve régulièrement de nouvelles mutations. Les chats, les chiens, les oiseaux ou encore les chauves-souris. Tous attrapent ce virus. Les humains aussi. Certains virus ne causent qu’un simple rhume alors que d’autres se manifestent… différemment. Il ne fait aucun doute que nous devons trouver un vaccin pour toute cette famille comme nous l’avons fait pour toutes les autres maladies mortelles : variole, polio, etc. Oui, mais avoir un vaccin n’est pas toujours la solution. Regardez la grippe… il n’y a aucun vaccin immunisant et ce depuis combien de siècles maintenant ? Quoi qu’il en soit, avant de commencer à développer un vaccin vous devez savoir ce que vous recherchez et il semblerait que cela relève plus de l’art que de la science.

Pourquoi est-ce que je vous raconte tout cela ? Quel est le lien… Il s’agit forcément de cybersécurité ou d’un voyage exotique, n’est-ce pas ?! Aujourd’hui, nous allons nous concentrer sur le premier élément.

Les zero-day sont une des cybermenaces existantes les plus dangereuses : ces vulnérabilités de logiciel rares et inconnues (pour les experts en cybersécurités et autres) peuvent causer d’importants et d’atroces dégâts à grande échelle, et ont tendance à rester cachées jusqu’à ce qu’elles soient exploitées, ou à n’être découvertes qu’après.

Pourtant, les experts en cybersécurité ont des outils qui leur permettent de gérer l’ambigüité des cygnes noirs et de les prédire. Je souhaite vous parler de l’un d’entre eux : YARA.

L’équipe GReAT de Costin Raiu a examiné les e-mails de Hacking Team et a établi une règle YARA, capable de détecter un exploit zero-day, à partir de presque rien

Pour faire simple, YARA aide à rechercher et détecter un malware en identifiant les fichiers qui répondent à certains critères et en adoptant une approche qui repose sur des règles afin de décrire les familles de malware selon leurs modèles textuels ou binaires. Tout cela semble bien compliqué. Continuez à lire, vous allez comprendre. Cet outil est donc utilisé pour rechercher des malwares similaires après avoir identifié un modèle. L’objectif est de pouvoir dire que certains programmes malveillants semblent avoir été inventés par les mêmes cybercriminels et à des fins similaires.

Utilisons une autre métaphore, comme celle du cygne noir et avec de l’eau : la mer.

Imaginons que votre réseau est l’océan, avec des milliers de poissons différents, et que vous êtes un pêcheur parti au large sur son bateau qui lance d’énormes filets dérivants pour pêcher. Attention, seules quelques espèces de poissons vous intéressent : les malwares créés par un groupe spécifique de pirates informatiques. Votre filet dérivant est spécial maintenant. Il dispose de plusieurs compartiments et seuls les poissons d’une espèce en particulier (caractéristiques du malware) peuvent être mis dans le compartiment correspondant.

Lorsque vous remontez le filet vous avez beaucoup de poissons, tous compartimentés. Certains sont relativement récents, d’autres sont tout à fait inédits (nouveaux échantillons de malware) et vous ne savez pas grand-chose de ces exemplaires. Pourtant, vous avez des poissons dans des compartiments, par exemple « Ressemble à l’espèce [du groupe de cybercriminels] X » ou « Ressemble à l’espèce [du groupe de cybercriminels] Y ».

Voici un article qui illustre la métaphore du poisson et du pêcheur. En 2015, notre gourou YARA et directeur de GReAT, Costin Raiu, s’est complètement transformé en Sherlock Holmes de l’informatique pour trouver un exploit dans le logiciel Silverlight de Microsoft. Je vous conseille vivement de lire cet article mais, en résumé, Raiu a minutieusement examiné certains échanges d’e-mails que les cybercriminels ont divulgués pour établir une règle YARA à partir de presque rien, et c’est ainsi qu’il a pu trouver l’exploit et protéger le monde entier d’un très gros problème. Les e-mails avaient été envoyés par une entreprise italienne qui s’appelle Hacking Team… Des cybercriminels qui piratent d’autres cybercriminels !

Revenons-en aux règles YARA…

Les particpants reçoivent un certificat à la fin du cours qui confirme leur nouveau statut de ninja YARA. Certains nous ont dit que cette formation les a vraiment aidés dans leur carrière professionnelle

Nous enseignons l’art de la création des règles YARA depuis des années. Les cybermenaces que YARA nous a permis de découvrir sont assez complexes. C’est pourquoi ce cours est toujours présentiel, hors-ligne, et réservé à un nombre réduit de participants qui sont les meilleurs chercheurs en cybersécurité. Depuis mars, et à cause du confinement, il n’a pas été facile d’organiser une formation dans le monde réel. Le besoin de se former n’a pas pour autant disparu et l’intérêt porté à nos cours n’a pas diminué.

C’est tout naturel : les cybercriminels ne cessent d’imaginer de nouvelles attaques encore plus sophistiquées, surtout pendant la quarantaine. Par conséquent, il était tout simplement inacceptable de ne pas partager nos connaissances spécialisées sur YARA. Nous avons donc (1) adapté le format de la formation pour qu’elle puisse être faite en ligne et (2) l’avons rendue accessible à tout le monde. Elle n’est pas gratuite mais le prix est très compétitif et au niveau du marché pour un cours de ce niveau-là (le plus élevé).

Le voilà :

En lire plus :Apprenez à utiliser les règles YARA : comment prédire les cygnes noirs

Cybersécurité : la nouvelle dimension de la qualité automobile

Il semblerait que beaucoup de personnes pensent que les véhicules du 21ème siècle sont des dispositifs mécaniques. Il est vrai qu’un peu d’électronique a été ajouté pour une raison ou pour une autre, et que certains modèles en ont plus que d’autres mais, en fin de compte, ce travail relève du génie mécanique : châssis, moteur, roues, volant, pédales… L’électronique, qui s’avère parfois être un ordinateur, ne fait qu’aider tout le mécanisme. C’est son devoir puisque de nos jours les tableaux de bord sont un océan de données numériques avec seulement quelques affichages analogiques.

Bon, je vais être clair : les choses sont bien différentes !

De nos jours, une voiture est un ordinateur spécialisé, un « cyber-cerveau », qui contrôle les aspects mécaniques et électroniques que nous avions pour habitude d’associer au mot « voiture » : le moteur, les freins, les clignotants, les essuie-glaces, la climatisation et tout le reste.

Avant, par exemple, le frein à main était 100 % mécanique. Vous tiriez d’un coup sec, avec votre « main » (difficile à croire ?!) et il grinçait, tout comme vous. De nos jours, vous appuyez sur un bouton. 0 % de mécanique. Contrôle par ordinateur à 100 %. Il en est de même avec presque tous les éléments.

Ensuite, beaucoup pensent qu’un véhicule autonome est une voiture conduite par un ordinateur. Pourtant, s’il y a quelqu’un au volant de cette nouvelle voiture alors c’est cette personne qui conduit (et non l’ordinateur). « Bien sûr, ne soyons pas ridicule ! »

Je dois encore corriger cette affirmation : ce n’est pas comme ça !

Avec la plupart des véhicules modernes actuels, la seule différence entre les autonomes et ceux conduits par un humain sont que, dans ce dernier cas, l’humain contrôle les ordinateurs de bord. Lorsqu’il s’agit d’un véhicule autonome, les différents ordinateurs de la voiture sont contrôlés par un ordinateur principal, central et très intelligent, développé par des entreprises comme Google, Yandex, Baidu ou Cognitive Technologies. L’ordinateur reçoit la destination, observe tout ce qui se passe autour de lui et décide comment se rendre jusqu’à la destination (à quelle vitesse, en suivant quel itinéraire, etc. selon des algorithmes super-intelligents mis à jour chaque nanoseconde).

Courte histoire de la numérisation des véhicules à moteur

Quand sommes-nous passés de la mécanique au numérique ?

Certains experts dans ce domaine estiment que l’informatisation de l’industrie automobile a commencé en 1955, lorsque Chrysler proposait un transistor en option sur un de ses modèles. D’autres, qui pensaient que la radio n’était pas vraiment une caractéristique automobile, considèrent que ce fut l’introduction de l’allumage électronique, de l’ABS ou des systèmes électroniques de commande du moteur qui ont amené l’informatisation automobile (par Pontiac, Chrysler et GM en 1963, 1971 et 1979 respectivement).

Peu importe quand ce processus a commencé, ce qui s’en est suivi a été peu différent : encore plus d’électronique. Puis les choses sont devenues de plus en plus numérique et il a été de plus en plus difficile de faire la distinction entre ces deux aspects. Pour ma part, je considère que la révolution numérique des technologies automobiles a commencé en février 1986 lorsque, lors de la convention de la Society of Automotive Engineers, l’entreprise Robert Bosch GmbH a présenté au monde son protocole de réseau numérique pour que les composants électroniques de la voiture puissent communiquer : le bus de données CAN (controller area network). Il faut dire ce qui est : le protocole inventé par ces ingénieurs de Bosch est encore pertinent de nos jours et utilisé par presque n’importe quel véhicule dans le monde !

En lire plus :Cybersécurité : la nouvelle dimension de la qualité automobile

Flickr photostream

  • Sochi / Sep 2020
  • Sochi / Sep 2020
  • Sochi / Sep 2020
  • Sochi / Sep 2020

Instagram

Vos jeux consomment beaucoup de ressources ? Découvrez notre mode Jeux.

Il y a presque 30 ans, en 1993, la première incarnation du jeu culte sur ordinateur Doom sortait. C’est grâce à lui que les quelques propriétaires d’un ordinateur de bureau (imaginez la situation !) ont découvert que la meilleure façon de se protéger contre les monstres c’est en utilisant un fusil et une tronçonneuse. Les jeux vidéo ne m’ont jamais vraiment passionné (je n’avais pas assez de temps, j’étais bien trop occupé). Pourtant, de temps à autre, après une longue journée de travail, certains collègues et moi-même jouions pendant près d’une heure à des jeux de tir à la première personne, et nous étions tous connectés à notre réseau local. Je me souviens même du tournoi de Duke Nukem organisé au sein de l’entreprise. Nous parlions du classement pendant la pause repas à la cantine et nous pariions sur le vainqueur ! Ainsi, les jeux vidéo n’étaient jamais loin.

Pendant ce temps, nous avons lancé notre antivirus ; une solution complète avec des cris de cochon (activez les sous-titres en français en cliquant en bas à droite de la vidéo) pour effrayer les monstres informatiques les plus redoutables. Les trois premières versions se sont bien déroulées. Puis il y a eu la quatrième, avec de nouvelles technologies merveilleuses qui luttaient contre les cybermenaces complexes, mais nous n’avions pas assez bien pensé l’architecture et nous ne l’avions pas assez testée. Le principal problème était la façon dont cet antivirus accaparait les ressources et ralentissait l’ordinateur. À cette époque, les logiciels, et surtout les jeux vidéo, avaient besoin de plus de ressources jour après jour. La dernière chose dont les utilisateurs avaient besoin étaient un antivirus qui saturait le processeur et la mémoire RAM.

Nous devions agir vite. C’est ce que nous avons fait. Deux ans plus tard nous avons lancé notre légendaire sixième version, qui a battu tout le monde en termes de vitesse (fiabilité et flexibilité). Cela fait maintenant 15 ans que nos solutions figurent parmi les meilleures en performance.

Chassez le naturel, il revient au galop. Ce problème temporaire qui affectait les performances de l’ordinateur est devenu un mythe et certains y croient encore aujourd’hui. Nos concurrents ont été ravis de voir cette légende prendre… des proportions mythiques. Nous l’étions beaucoup moins.

En lire plus :Vos jeux consomment beaucoup de ressources ? Découvrez notre mode Jeux.

Un système d’alerte précoce pour les cyber-gardes (alias Adaptive Anomaly Control – contrôle des anomalies adaptatif)

Le plus probable, si vous travaillez normalement dans un bureau, c’est que votre bureau soit actuellement plutôt ou totalement vide, juste comme le nôtre. Dans notre siège, vous ne verrez que quelques gardes de sécurité, et le seul bruit que vous entendrez sera le bourdonnement des systèmes de refroidissement de nos serveurs lourdement chargés, étant donné que tout le monde est branché et travaille depuis chez soi.

Vous n’imaginez pas que, sans être vus, nos technologies, nos experts et nos produits travaillent 24 heures sur 24 et 7 jours sur 7 pour protéger le cybermonde. Mais c’est le cas. Cependant, les méchants préparent en même temps de nouveaux tours de passe-passe. Heureusement, nous disposons d’un système d’alerte précoce dans notre collection d’outils de cyberprotection. Mais j’y reviendrai dans un instant…

Le rôle d’un responsable de la sécurité informatique ressemble en quelque sorte à celui d’un garde forestier : pour attraper les braconniers (malwares) et neutraliser la menace qu’ils représentent pour les habitants de la forêt, il faut d’abord les trouver. Bien sûr, vous pouvez simplement attendre que le fusil d’un braconnier se déclenche et courir vers l’endroit d’où provient le son, mais cela n’exclut pas la possibilité que vous arriviez trop tard et que la seule chose que vous puissiez faire soit de nettoyer les dégâts.

Vous pourriez devenir complètement paranoïaque en plaçant des capteurs et des caméras vidéo partout dans la forêt, mais vous pourriez alors vous retrouver à réagir à chaque bruissement capté (et bientôt à perdre le sommeil… et la tête). Mais lorsque vous réalisez que les braconniers ont appris à très bien se cacher, et en fait, à ne laisser aucune trace de leur présence, il devient alors évident que l’aspect le plus important de la sécurité est la capacité à séparer les événements suspects des événements réguliers et inoffensifs.

De plus en plus, les cyberbraconniers de notre époque se camouflent à l’aide d’outils et d’opérations parfaitement légitimes.

Quelques exemples : l’ouverture d’un document dans Microsoft Office, l’octroi d’un accès à distance à un administrateur système, le lancement d’un script dans PowerShell et l’activation d’un mécanisme de cryptage des données. Ensuite, il y a aussi la nouvelle vague de malwares sans fichiers qui ne laissent aucune trace sur un disque dur, ce qui limite sérieusement l’efficacité des approches traditionnelles de la protection.

Exemples : (i) L’acteur de menaces Platinum a utilisé des technologies sans fichier pour accéder à des ordinateurs d’organisations diplomatiques (ii) des documents de bureau avec une charge utile malveillante ont été utilisés pour des infections de phishing dans les opérations de l’APT de DarkUniverse ; et il y a encore bien d’autres cas. Un autre exemple : le crypteur sans fichier  » Mailto  » (alias Netwalker), qui utilise un script PowerShell pour charger le code malveillant directement dans la mémoire des processus système de confiance.

Maintenant, si la protection traditionnelle n’est pas à la hauteur, il est possible d’essayer d’interdire aux utilisateurs toute une série d’opérations, et d’introduire des politiques strictes sur l’accès et l’utilisation des logiciels. Cependant, dans ce cas, les utilisateurs et les méchants finiront probablement par trouver des moyens de contourner les interdictions (tout comme la prohibition de l’alcool a toujours été contournée).

Il vaudrait beaucoup mieux trouver une solution permettant de détecter les anomalies dans les processus standard et d’en informer l’administrateur du système. Mais l’essentiel est qu’une telle solution apprenne à déterminer automatiquement et précisément le degré de  » suspicion  » des processus dans toute leur diversité, afin de ne pas tourmenter l’administrateur du système en criant constamment au loup !

Eh bien, vous l’avez deviné ! Nous avons une solution de ce type : Adaptive Anomaly Control, un service construit sur trois composants principaux – des règles, des statistiques et des exceptions.

En lire plus :Un système d’alerte précoce pour les cyber-gardes (alias Adaptive Anomaly Control – contrôle des anomalies adaptatif)

Jouer à cache-cache avec des malwares sans fichiers

Le code malveillant s’infiltre partout…

C’est un peu comme un gaz, qui remplit toujours l’espace dans lequel il se trouve : il passera toujours par les  » trous  » (vulnérabilités) d’un système informatique. Notre travail (enfin, l’une de nos tâches) consiste donc à trouver ces trous et à les boucher. Notre objectif est de faire cela de manière proactive ; c’est-à-dire, avant que le malware ne les retrouve. Et s’il en détecte, nous sommes là, prêts à le repousser.

En fait, c’est la protection proactive et la capacité à prévoir les actions des attaquants et à créer une barrière à l’avance qui distinguent une cybersécurité de haute technologie vraiment excellente du simple marketing.

Aujourd’hui, je voudrais vous parler d’une autre façon dont notre action proactive protège contre un autre type de malware, particulièrement rusé. Oui, je veux vous parler de ce qu’on appelle le code malveillant sans fichier (et donc sans  » corps « ) : une dangereuse race de malwares fantômes qui ont appris à utiliser les inconvénients architecturaux de Windows pour infecter les ordinateurs. Et aussi de notre technologie brevetée qui lutte contre cette cyber-maladie bien particulière. Et je le ferai comme vous l’aimez : des choses complexes expliquées simplement, de manière légère et captivante comme dans un cyber-thriller avec des éléments de suspense ;).

Tout d’abord, que veut dire sans fichier ?

Eh bien, le code sans fichier, une fois introduit dans un système informatique, ne crée pas de copies de lui-même sous forme de fichiers sur le disque, évitant ainsi la détection par les méthodes traditionnelles, par exemple avec un moniteur antivirus.

Alors, comment un tel  » malware fantôme  » existe-t-il à l’intérieur d’un système ? Eh bien, il réside dans la mémoire de processus fiable ! Eh oui ! Beurk !

Dans Windows (et pas seulement dans Windows, en fait), il y a toujours eu la possibilité d’exécuter du code dynamique, notamment utilisé pour la Compilation juste à temps. Cela consiste en la transformation d’un code de programme en code machine non pas immédiatement, mais au fur et à mesure des besoins. Cette approche améliore la vitesse d’exécution de certaines applications. Et pour prendre en charge cette fonctionnalité, Windows permet aux applications de placer du code dans la mémoire de processus (ou même dans une autre mémoire de processus fiable) et de l’exécuter.

Ce n’est pas vraiment une bonne idée du point de vue de la sécurité, mais bon… C’est comme ça que des millions d’applications écrites dans Java, .NET, PHP, Python et autres langages et pour d’autres plateformes fonctionnent depuis des décennies.

Comme on pouvait s’y attendre, les criminels du web ont profité de la possibilité d’utiliser du code dynamique, en inventant diverses méthodes pour en abuser. Et l’une des méthodes les plus pratiques et donc les plus répandues qu’ils utilisent est ce qu’on appelle l’injection de PE par réflexion. La quoi ? Laissez-moi expliquer (c’est plutôt intéressant, restez avec moi !)

Lancer une demande en cliquant sur son icône est assez simple et direct, non ? En fait, cela semble simple, mais sous le capot, il y a toutes sortes de choses qui se passent : un chargeur système est appelé, qui prend le fichier respectif sur le disque, le charge dans la mémoire et l’exécute. Et ce processus standard est contrôlé par des moniteurs antivirus, qui vérifient la sécurité de l’application à la volée.

Lorsqu’il y a une  » réflexion « , cependant, le code est chargé en contournant le chargeur du système (et donc en contournant également le moniteur antivirus). Le code est placé directement dans la mémoire d’un processus fiable, créant ainsi une  » réflexion  » du module exécutable original. Cette réflexion peut être exécutée comme un véritable module chargé par une méthode standard, mais elle n’est pas enregistrée dans la liste des modules et, comme mentionné ci-dessus, elle n’a pas de fichier sur le disque.
 
De plus, contrairement aux autres techniques d’injection de code (par exemple, via le shellcode), l’injection par réflexion permet de créer du code fonctionnellement avancé dans des langages de programmation de haut niveau et des cadres de développement standard, sans aucune limitation ou presque. Le résultat : (i) pas de fichiers, (ii) une dissimulation derrière un processus fiable, (iii) l’invisibilité face aux technologies de protection traditionnelles, et (iv) le champ libre pour faire des ravages.

Alors, bien entendu les injections par réflexion ont eu un succès fou auprès des développeurs de code malveillant : Ils sont d’abord apparus dans des packs d’exploitation. Ensuite, des cyber-espions ont fait leur apparition (par exemple, Lazarus etTurla), puis des cybercriminels avancés (comme c’est une façon utile et légitime d’exécuter un code complexe !), puis de petits cybercriminels.

Maintenant, du côté des antivirus, trouver une telle infection sans fichier, c’est comme chercher une aiguille dans une cyber-botte de foin. Pas étonnant que la plupart des marques de cybersécurité ne s’en sortent pas trop bien. Certaines touchent à peine à ce type de problèmes.

En lire plus :Jouer à cache-cache avec des malwares sans fichiers

Cyber-histoires du côté obscur : vulnérabilités inattendues, piratage à la demande et système d’exploitation de SpaceX

Passer le premier mois de l’été en quarantaine : fait. Il semblerait que le monde s’ouvre progressivement mais nous préférons ne pas prendre de risques à K et nous avons décidé de continuer à télétravailler. Cela ne signifie pas pour autant que nous avons perdu en efficacité : nous travaillons toujours aussi bien, d’autant que les cybercriminels n’ont pas été mis au chômage technique. La situation générale des menaces n’a toutefois pas connu de changement majeur ces derniers temps. Comme d’habitude, les pirates informatiques ont tout de même mis au point des cyber-méthodes plutôt étonnantes. Voici certaines de celles que nous avons vues ce dernier mois.

Vulnérabilité zero-day dans le système d’exploitation ‘super-sécurisé’ Tails de Linux

Il ne fait aucun doute que Facebook sait comment dépenser son argent. Il s’avère que l’entreprise a investi un important montant à six chiffres dans la création d’un exploit zero-day pour s’en prendre à une vulnérabilité du système d’exploitation Tails (= Linux, spécialement conçu pour profiter d’une meilleure vie privée) dans le cadre d’une affaire du FBI. Cette action a permis la détention d’un pédophile. Ils savaient depuis un certain temps que cet individu paranoïaque et dérangé utilisait ce système d’exploitation particulièrement sécurisé. Facebook a d’abord utilisé sa capacité à cartographier les comptes pour connecter tous ceux que le criminel avait utilisés. Il a malgré tout été impossible d’obtenir une adresse valide à partir de cette cyber-victoire. Ils ont apparemment demandé le développement d’un exploit pour une application de lecteur vidéo. Ce choix était judicieux puisque le prédateur sexuel demandait à ses victimes de lui envoyer des vidéos et qu’il les regardait sûrement sur son ordinateur.

Il semblerait que la vulnérabilité exploitée n’a pas été signalée aux développeurs de Tails qui ont ensuite répondu qu’elle avait déjà été corrigée. Les employés de l’entreprise ne disent rien à ce sujet mais il est évident que la  » commande d’une vulnérabilité  » n’est pas la meilleure publicité. On espère néanmoins que cet exploit était unique, réservé à ce criminel particulièrement mauvais, et que cela ne va pas se répéter pour un quelconque utilisateur.

Ce qu’il faut en retenir : peu importe à quel point le projet basé sur Linux ce dit super-méga sécurisé, rien ne garantit qu’il n’y ait pas de vulnérabilité. Pour pouvoir revendiquer une telle capacité, la totalité des procédures de travail de base et l’architecture du système d’exploitation doit être restructurée. Hm, oui, en réalité, c’est l’occasion parfaite pour dire bonjour à ça 😊.

En lire plus :Cyber-histoires du côté obscur : vulnérabilités inattendues, piratage à la demande et système d’exploitation de SpaceX

Quel groupe de pirates informatiques s’en prend au réseau de mon entreprise ? Ne jouez pas aux devinettes, vérifiez !

Il y a environ quatre ans, la cybersécurité devenait un pion de l’échiquier géopolitique. Alors que les politiques de tous les partis et de toutes les nationalités se montraient du doigt et se rejetaient la faute d’opérations hostiles de cyber-espionnage, en parallèle, et apparemment sans aucun signe d’ironie, ils augmentaient la réserve d’armes outils offensifs informatiques de leur pays. Les entreprises indépendantes de cybersécurité, prises entre deux feux à cause de ces manigances géopolitiques, ont toutefois les capacités et le culot courage de révéler toutes ces absurdités très dangereuses.

Pourquoi ? C’est très simple.

Tout d’abord,  » cyber  » a été et est depuis le début un terme cool, romantique, glamour, hollywoodien et lié à la science-fiction. Il est vendeur, même lorsqu’il s’agit de journaux d’abonnements à des journaux en ligne. Il est populaire, même auprès des politiques. C’est aussi une distraction utile, grâce à son côté cool et tendance, lorsqu’il faut détourner l’attention, et c’est souvent le cas.

Ensuite,  » cyber  » est vraiment un terme geek. La plupart des gens ne comprennent pas en quoi il consiste. Par conséquent, les médias, lorsqu’ils doivent couvrir une actualité ayant un lien avec ce sujet, ou lorsqu’ils cherchent à obtenir plus de visites sur leur site, peuvent écrire tout et n’importe quoi, et la plupart des choses qu’ils racontent ne sont pas vraiment exactes (ou sont complètement fausses). Peu de lecteurs s’en rendent compte. Vous avez donc de nombreux articles dans la presse qui disent que le groupe de pirates informatiques de tel ou tel pays est responsable d’une certaine cyberattaque embarrassante, coûteuse, préjudiciable ou encore scandaleuse. Y-a-t-il quelque chose de vrai dans tout cela.

Nous nous en tenons aux attributions techniques. C’est notre devoir et c’est ce que nous faisons en tant qu’entreprise.

En général, il est difficile de discerner le vrai du faux. Cela étant dit, est-il vraiment possible d’attribuer avec précision une cyberattaque à tel gouvernement ou à une organisation en particulier ?

La réponse se divise en deux parties

D’un point de vue technique, les cyberattaques possèdent un ensemble de caractéristiques spécifiques, mais le système d’analyse impartial ne peut que déterminer à quel point une attaque ressemble au travail de tel ou tel groupe de pirates informatiques. En revanche, lorsqu’il s’agit de dire si tel ou tel groupe de pirates informatiques en est à l’origine… comme les renseignements militaires de la sous-unité 233, le groupe pour les projets de recherche avancée de défense ou l’unité opérationnelle des capacités stratégiques conjointes et de la réduction des menaces (toutes ces institutions sont factices, inutiles de faire une recherche sur Google)… cela relève de la politique. Dans ce cas, l’éventualité d’une manipulation des faits s’approche des 100 %. L’attribution peut être technique, établie à partir de preuves et tirée de conclusions exactes, ou bien… relever de la voyance, en lisant les lignes de votre main ou le marc de café. C’est pourquoi nous laissons les médias s’en occuper. Nous restons bien l’écart. En attendant, le pourcentage d’insectes politiques qui se passent de la pommade à base de faits de cybersécurité pure se multiplie lorsque la date de certains événements politiques clés approche. Oh, exactement comme celui prévu dans cinq mois !

Le combat est beaucoup plus facile si nous connaissons l’identité du cybercriminel : la réponse aux incidents peut être déployée sans encombre et avec un risque minimum pour l’entreprise.

Donc oui, nous évitons à tout prix l’attribution politique. Nous nous en tenons à la partie technique. En réalité, c’est notre devoir et c’est ce que nous faisons en tant qu’entreprise. Nous le faisons mieux que n’importe qui, en toute modestie. Nous suivons de près tous les grands groupes de pirates informatiques et leurs opérations (plus de 600 d’entre elles) et ne faisons pas attention à leur éventuelle orientation politique. Un voleur reste un voleur et sa place est en prison. Maintenant, plus de 30 ans après être entré en jeu et avoir collecté en continu de nombreuses données sur les actes numériques répréhensibles, nous sommes enfin prêts à partager tout ce que nous avons obtenu, de façon convenable.

L’autre jour, nous avons lancé un nouveau service exceptionnel pour les experts en cybersécurité. Il s’agit de Kaspersky Threat Attribution Engine (KTAE). Ce produit analyse les fichiers suspects et détermine quel groupe de pirates informatiques pourrait être à l’origine de la cyberattaque. Le combat est beaucoup plus facile si nous connaissons l’identité du cybercriminel puisque cela nous permet de prendre des décisions de contre-mesures informées, d’élaborer un plan d’action, d’établir les priorités et, de façon générale, de déployer une réponse aux incidents sans encombre et avec un risque minimum pour l’entreprise.

Comment est-ce possible ?

En lire plus :Quel groupe de pirates informatiques s’en prend au réseau de mon entreprise ? Ne jouez pas aux devinettes, vérifiez !

Cyber-histoires en temps de confinement : 92 mars 2020

Cela fait maintenant près de trois mois que la plupart des pays, et leurs habitants, sont en confinement ! Vous avez certainement entendu parler d’un film en particulier pendant ce laps de temps, j’en suis certain, voire de plusieurs. Il y a pourtant une nouvelle approche : le film Un jour sans fin n’est plus aussi amusant ! Ensuite, quelle que soit la météo, cela ne nous convient pas. Un temps couvert, humide et venté : c’est déprimant pour tout le monde (en plus du confinement). Le soleil brille, il fait chaud et on se croirait en été : c’est déprimant pour tout le monde puisque personne ne peut sortir pour en profiter !

Pourtant, j’imagine qu’il est quelque peu réconfortant de se dire que nous sommes presque tous dans la même situation et ne pouvons pas quitter notre domicile. Peut-être. Cela ne s’applique qu’à nous, les personnes normales / bien intentionnées. Qu’en est-il des méchants ? Comment ont-ils  » surmonté  » cet emprisonnement à domicile ? La semaine dernière, j’ai partagé quelques statistiques et tendances à ce sujet. Aujourd’hui je souhaite poursuivre cette étude et faire une mise à jour… Eh oui, malheureusement les cyber-méchants agissent vite. // Soit dit en passant, si vous souhaitez en savoir plus sur les cyber-histoires du côté obscur, alias cyber-actualité, suivez l’étiquette de ces articles.

Tout d’abord, voici quelques statistiques supplémentaires – mises à jour. De plus, elles sont plutôt rassurantes…

En mars, mais surtout en avril, l’activité générale des cybercriminels a fortement augmenté. Pourtant, nous avons constaté une forte baisse en mai et sommes revenus aux résultats que nous avions avant le coronavirus (janvier-février) :

En lire plus :Cyber-histoires en temps de confinement : 92 mars 2020

Cyber-pouls du monde pendant la pandémie.

En ces temps difficiles, on me demande souvent comment la situation cyber-épidémiologique a évolué. En termes plus généraux, comment la cybersécurité a-t-elle été affectée par ce déplacement de masse vers le télétravail (ou le chômage, malheureusement, pour ceux qui n’ont pas eu de chance mais restent tout de même chez eux) ? Plus particulièrement, quelles nouvelles astuces les cybercriminels ont-ils développées ? Qu’est-ce que les utilisateurs doivent faire pour s’en protéger ?

Je vous propose donc de vous faire un résumé…

Comme toujours, les criminels, et donc les cybercriminels, suivent de près les conditions changeantes et s’adaptent pour augmenter leurs revenus. Par conséquent, lorsque presque tout le monde passe soudainement à un temps plein à domicile (télétravail, divertissement à domicile, achats à domicile, interactions sociales à distance, tout à domicile !), les cybercriminels modifient leurs méthodes.

Les escrocs ont remarqué une chose : maintenant que presque tout le monde est en quarantaine, le temps passé sur Internet a considérablement augmenté. Cela signifie qu’ils disposent d’une « surface d’attaque » générale plus importante pour leurs actes criminels.

En outre, les employeurs de la plupart des personnes qui travaillent désormais depuis chez elles ne leur ont malheureusement pas fourni une protection informatique de qualité et fiable. Cela signifie que de nouvelles opportunités s’offrent aux cybercriminels puisqu’ils pourraient notamment pirater le réseau professionnel que les employés utilisent et obtenir de précieux renseignements criminels.

Il est évident que les cybercriminels cherchent à mettre la main sur ces précieux renseignements. Nous le constatons avec la forte augmentation des attaques par force brute des serveurs de bases de données et des RDP (une technologie qui permet à un employé, par exemple, d’avoir pleinement accès à son ordinateur professionnel, ses fichiers, son bureau, absolument tout, à distance, et donc depuis chez lui).

En lire plus :Cyber-pouls du monde pendant la pandémie.

Les distributeurs automatiques qui ne sont pas sûrs devraient eux aussi être mis en quarantaine

Tous les ans, je prends plus de cent vols à travers le monde, accompagné de mes compagnons de voyage. De nos jours, nous payons presque partout et toujours par carte ou par téléphone, et le plus souvent sans contact comme avec Apple ou Google Pay. En Chine, vous pouvez même payer par WeChat lorsque vous faites votre marché pour acheter des fruits et légumes aux petites mamies. De plus, le virus actuel tristement célèbre rend l’utilisation de l’argent virtuel encore plus populaire.

Pourtant, on rencontre encore d’étranges surprises : à Hong Kong, précisément, les taxis doivent toujours être payés en liquide ! À Francfort (!), l’an dernier, dans deux restaurants différents, nous n’avons pu payer qu’en espèces. HEIN !? Nous avons dû faire de longues recherches pour trouver un distributeur automatique et retirer des euros au lieu de profiter de notre verre de brandy après le dîner. C’est inhumain ! 🙂 Quoi qu’il en soit, tout cela prouve que, malgré l’existence de systèmes de paiement progressifs dans le monde entier, il semble que le bon vieux distributeur automatique de billets soit toujours nécessaire, où que nous allions, et qu’il ne soit pas prêt à disparaître de sitôt.

Où est-ce que je veux en venir avec tout ça ? À la cybersécurité, bien sûr !…

Distributeur = argent ⇒ des distributeurs ont été, sont et seront piratés, c’est ainsi ! Seulement, la situation empire. Certaines recherches montrent qu’entre 2017 et 2019, le nombre de distributeurs de billets attaqués par des malwares a été multiplié par 2,5 environ.

Question : est-il possible de contrôler en continu l’intérieur et l’extérieur d’un distributeur automatique ? Vous vous dites sûrement que c’est possible, mais ce n’est pas si simple que cela.

Il y a beaucoup de distributeurs automatiques de billets dans les rues, les magasins, les passages souterrains, les stations de métro, etc., avec une connexion très lente. Ils ont à peine assez de bande passante pour gérer les transactions et ne surveillent pas vraiment ce qui se passe autour d’eux.

C’est pourquoi, face à ce manque de surveillance dû à la connexion au réseau, nous sommes intervenus pour combler cette lacune et renforcer le niveau de sécurité des distributeurs automatiques de billets. Nous avons appliqué les meilleures pratiques d’optimisation (dont nous sommes des experts incontestés, avec 25 ans d’expérience), et réduit de façon radicale la quantité de trafic nécessaire par notre piqûre d’inoculation spécifique contre les menaces applicables aux distributeurs – Kaspersky Embedded Systems Security, ou KESS.

Notez-le bien : l’exigence de vitesse minimale de connexion Internet pour notre KESS est56 kilobits (!!!) par seconde. Seigneur ! C’était la vitesse de mon modem commuté en 1998 !

À titre de comparaison, la vitesse moyenne de l’Internet 4G actuel dans les pays développés se trouve entre 30 000 et 120 000 kilobits par seconde. Quant à la 5G, elle promet plus de 100 millions de Kbps (des centaines de gigabits). Enfin, si les gens ne détruisent pas toutes les antennes avant. Ne vous laissez pas tromper par cette vitesse de connexion préhistorique : la protection offerte ne pourrait pas être meilleure. En effet, nous pourrions donner quelques leçons à beaucoup de gestionnaires efficaces au sujet de l’optimisation sans perte de qualité.

En lire plus :Les distributeurs automatiques qui ne sont pas sûrs devraient eux aussi être mis en quarantaine