Cyberattaques : l’IA devient un opérateur autonome et redéfinit la sécurité
L’intelligence artificielle a franchi une étape décisive dans le domaine de la cybercriminalité. Selon le rapport annuel 2026 sur la sécurité de l’IA publié aujourd’hui par Check Point Research, la division de recherche de Check Point Software Technologies, l’IA est passée du statut d’outil d’assistance à celui d’acteur autonome des cyberattaques. Désormais, elle n’aide plus seulement à préparer les offensives, elle orchestre des intrusions complexes en temps réel avec un minimum d’intervention humaine, réduisant drastiquement le temps de réaction des équipes de défense.
Cette évolution se traduit concrètement sur le terrain par des opérations d’une rapidité inédite. Les chercheurs de Check Point ont notamment documenté une cyberattaque ciblant neuf organismes gouvernementaux mexicains. Un seul opérateur humain a déployé deux outils d’IA commerciaux, Claude Code pour l’intrusion et la navigation réseau, et GPT-4.1 pour l’analyse des données dérobées et la planification des étapes suivantes. Cette collaboration technologique a généré plus de 5 000 commandes exécutées de manière autonome au cours de 34 sessions d’attaque.
Cette automatisation permet aux cybercriminels d’exploiter les failles de sécurité presque instantanément après leur découverte. La fenêtre de vulnérabilité, qui se mesurait auparavant en jours, se compte maintenant en heures. Face à cette accélération, certaines autorités gouvernementales imposent désormais des délais de correction réduits à seulement 12 heures pour les infrastructures critiques exposées à Internet. En parallèle, les attaques par injection de requêtes se multiplient, le volume de charges utiles malveillantes détectées ayant été multiplié par cinq entre mars et mai 2026.
Le rapport met également en garde contre la fragilisation des méthodes d’identification classiques. La capacité de l’IA à synthétiser des voix, des visages et des vidéos en temps réel atteint un tel niveau de réalisme que même des experts entraînés ne parviennent à identifier correctement des visages générés par IA que dans 41 % des cas. Cette situation pousse les organisations à abandonner la simple vérification visuelle au profit d’authentifications multifacteurs plus rigoureuses.
Enfin, la menace ne vient pas uniquement de l’extérieur. L’exposition des données d’entreprise découle en grande partie de l’usage quotidien et autorisé des outils d’IA par les employés, qui transmettent souvent des informations confidentielles pour obtenir des réponses plus précises. Les interactions à haut risque en entreprise ont d’ailleurs doublé en un an, concernant désormais une requête sur 25. Pour faire face à cette nouvelle réalité, les experts de Check Point rappellent que la défense doit désormais s’organiser à la vitesse de la machine pour contrer des menaces automatisées.
Bien comprendre la chaîne d’une cyberattaque – Le Monde Informatique
Publié lejanvier 30, 2023
Bien comprendre la chaîne d’une cyberattaque – Le Monde Informatique
Tamlin Magee IDG (adaptation Jean Elyan) , publié le 16 Juillet 2018
10-13 minutes
Une bonne compréhension de l’anatomie et des processus successifs mis
en oeuvre dans une cyberattaque réussie permet de trouver des parades
et d’atténuer de futures attaques.
L’armée américaine a été la première à formaliser le concept de
« kill chain » ou « chaîne de frappe », six étapes définies par
l’acronyme F2T2EA (Find, Fix, Track, Target, Engage, Assess) qu’il faut
effectuer pour atteindre une cible. Les stratégies de défense aérienne
ont beaucoup travaillé pour réduire ce cycle F2T2EA : de 24 h lors de la
Guerre du Golfe, il était passé à 12 minutes, 15 ans plus tard. C’est
une chaîne, dans le sens où la défaillance d’un des maillons peut mettre
en péril tout le processus d’attaque pu de riposte. En 2011,
l’entreprise de défense Lockheed Martin a mis au point un modèle de
chaîne de frappe qui s’applique aux menaces de cybersécurité, ce qu’elle
appelle cette fois-là « cyber kill chain » ou « chaîne de frappe
cybernétique ». Cette chaîne répertorie sept actions qui permettent
généralement de réussir une cyberattaque :
– La reconnaissance : c’est la collecte
d’informations et le repérage de la cible. Il s’agit soit de collecte
d’adresses électroniques, soit de techniques d’ingénierie sociale.
Rechercher la cible sur les réseaux sociaux, ou toute autre information
disponible sur le web. Ou encore, rechercher des serveurs ouverts, ou
des serveurs connectés à Internet et essayer de cibler ceux qui
utilisent des informations d’identification par défaut, assez faciles à
trouver à l’aide de Shodan par exemple.
– L’armement : pour Lockheed, l’armement consiste à
« coupler un exploit avec une porte dérobée dans une charge utile
livrable ». En d’autres termes, il s’agit de construire un système
d’attaque – trouver un moyen de compromettre le réseau, trouver le bon
logiciel malveillant pour accomplir la mission, par exemple un cheval de
Troie avec accès à distance, et une technique pour tromper la cible et
l’inciter à déclencher l’attaque.
– La livraison : dans cette phase, il s’agit de
livrer un pack d’attaque à la victime par e-mail, web, USB, etc. Cette
étape, plutôt explicite fait référence à la logistique d’acheminement de
la charge utile de A à B à C.
– L’exploitation : une fois la livraison effectuée,
il faut une solution pour exploiter la vulnérabilité sur le système
cible pour exécuter le code malveillant.
– La commande et le contrôle : Il s’agit du « canal
de commande qui va servir à manipuler la victime à distance ».
Maintenant que la cible est totalement compromise, le système compromis
va retourner un Ping à l’attaquant. Le signal passe généralement par
l’intermédiaire d’un bot, d’un zombie ou d’un autre système compromis,
afin de brouiller la piste qui permettrait de remonter à l’attaquant
initial.
– Les actions sur les objectifs : c’est là que
l’attaquant effectue la mission qu’il s’était donnée au départ :
espionner, compromettre des systèmes plus profonds sur le réseau, voler
des identifiants, installer des ransomwares ou tout simplement faire des
dégâts dans un système.
À l’image de la « kill chain » militaire, une cyberattaque typique
doit inclure toutes ces étapes pour réussir. Aujourd’hui, la majorité
des attaques suivent plus ou moins ce schéma. Mais on peut
raisonnablement imaginer qu’actuellement les pirates développent des
attaques plus sophistiquées et ne pas exclure que des attaques faisant
davantage appel à l’automatisation, voire même à l’intelligence
artificielle, sont peut-être menées à l’état sauvage. Cependant, la
plupart des pirates utilisent les méthodes qui sont à leur portée :
Phishing, ransomware worms, etc.
Se défendre à chaque étape de la chaîne d’attaque.
Dans un livre blanc publié en 2015 par Lockheed Martin (PDF), les
auteurs passent en revue certaines mesures de précaution que les
entreprises peuvent prendre pour limiter les dommages à chaque étape de
la chaîne.
La reconnaissance : elle est difficile à défendre parce qu’elle peut
souvent s’appuyer sur l’exploitation d’informations disponibles sur le
Web pour établir un profil détaillé de la cible. Après un vol de
données, il arrive souvent que ces données soient vendues sur le Dark
Web pour quelques dollars, ou se retrouvent à la vue de tous sur
Internet. Par exemple, après le piratage massif de 68 millions de
comptes DropBox en 2012, des données avaient été retrouvées sur Pastebin
en 2014. L’entreprise peut néanmoins collecter les logs des visiteurs
pour faire des recherches ultérieures en cas d’attaque. Lockheed Martin
conseille aussi de scruter les données des navigateurs et de créer des
alertes pour repérer les comportements de navigation typique des
cyberattaques. Ensuite, si l’entreprise soupçonne une action de
reconnaissance, elle peut mobiliser des ressources de défense sur les
personnes ou les technologies, ce qui lui donnera un avantage
considérable pour se protéger.
– L’armement : cette phase concerne essentiellement
l’attaquant, de sorte qu’il est peu probable de savoir à l’avance à quoi
ressemblera la charge utile avant l’attaque. Mais il est toujours
possible d’appliquer des règles de mises à jour rigoureuses dans toute
l’entreprise et de sensibiliser les employés. Deux atouts sur lesquels
misent généralement les attaquants sont en effet le défaut d’application
des correctifs ou des mises à jour et l’erreur humaine. Si une
entreprise repère une attaque, elle peut analyser le malware si elle en a
les ressources, éventuellement dans une machine virtuelle sécurisée.
Elle pourra ainsi comprendre pourquoi et comment le malware est
construit, mais aussi identifier des points de vulnérabilité dans ses
systèmes. « Il faut tout examiner ! » conseille encore Lockheed Martin.
– La livraison : toute entreprise ayant une
compréhension rudimentaire des meilleures pratiques en matière de
sécurité devrait mettre en place des solutions de protection
périmétrique, c’est-à-dire des pare-feu et, idéalement, un balayage
actif des menaces sur le réseau lui-même, pour identifier d’éventuelles
anomalies. Mais le meilleur pare-feu ne sert à rien s’il n’a pas été
correctement configuré par une personne qui sait ce qu’elle fait. Le
pare-feu ne peut être efficace s’il se limite à une activité de
journalisation sans empêcher ou signaler les activités malveillantes.
Encore une fois, Lockheed Martin recommande de sensibiliser les
utilisateurs et de réaliser des tests pour éprouver les salariés.
Beaucoup d’attaques commencent par l’envoi de courriels factices aux
employés. Elles permettent déjà à l’attaquant d’évaluer le niveau de
vigilance de l’entreprise. Mais, encore une fois, les humains sont
humains – et ils font des erreurs. Du point de vue technique, il serait
utile de faire des analyses de vulnérabilité et de demander à des
équipes de réaliser des tests de pénétration réguliers. Lockheed Martin
recommande aux entreprises de durcir les points d’extrémité, notamment
de restreindre les privilèges administrateur à l’aide de Microsoft
Enhanced Mitigation Experience Toolkit (EMET) et d’ajouter des règles
personnalisées pour empêcher l’exécution de shellcode. Le contracteur
recommande encore de « tout vérifier », en particulier les points
d’extrémité, pour essayer de comprendre la racine de l’exploit.
– Installation : si l’entreprise constate que des
logiciels malveillants ont été exécutés sur son réseau, le premier
conseil des auteurs du rapport de Lockheed Martin est ne pas paniquer.
« Faites de votre mieux pour isoler l’attaque, même si cela suppose de
réduire les opérations courantes de la journée ». Ils recommandent
également d’auditer les processus d’extrémité pour rechercher de
nouveaux fichiers inhabituels et d’utiliser un système de prévention
d’intrusion hôte pour alerter ou bloquer les chemins les plus couramment
utilisés pour réaliser des installations. Encore une fois, le mieux est
d’essayer de comprendre le malware, savoir s’il est du type Zero-day,
si sa signature est ancienne ou récente, les privilèges qu’il cherche à
obtenir, où il est localisé, et comment il fonctionne.
Dernière chance pour bloquer une attaque
Quant à l’étape de « commande et de contrôle », Lockheed Martin la
définit comme « la dernière chance pour la cible de bloquer l’opération…
Car, si les attaquants ne peuvent pas envoyer leurs ordres, la cible
peut encore bloquer l’attaque ». Mais, cela ne peut pas s’appliquer à
tous les malwares, en particulier ceux qui visent un sabotage
systématique ou qui veulent créer le plus grand désordre possible. Voici
ce qu’il est possible de faire selon Lockheed : lancer une analyse des
logiciels malveillants sur l’ensemble de l’infrastructure, durcir le
réseau en réduisant le nombre de points de présence Internet, et mettre
en place des proxies pour tous les types de trafic, y compris HTTP et
DNS. L’entreprise peut également introduire des blocs de catégories de
proxy, des gouffres ou « sinkhole » DNS et s’informer sur les attaques
en cherchant sur Internet ce que l’on sait peut être déjà sur l’attaque
et sur l’infrastructure d’attaque.
– Actions sur les objectifs : de nombreuses attaques
restent inaperçues pendant des jours, des semaines, des mois, voire des
années. Donc, si l’entreprise détecte une intrusion, les auteurs
estiment que la bataille est à moitié gagnée. Elle peut déjà prendre
rapidement des mesures d’atténuation. Elle peut par exemple chercher si
des données ont été exfiltrées et lesquelles, si le malware s’est
répandu (en particulier latéralement), rechercher si des identifiants
non autorisés ont été utilisés. Selon Lockheed Martin, c’est le moment
de sortir son manuel d’interventions en cas d’incident. Cela implique
aussi de parler avec les cadres au plus haut niveau de l’entreprise – et
prévoir aussi de s’entendre sur une stratégie de communication avec le
service concerné. Elle devra probablement prendre contact avec les
autorités locales chargées de la protection des données et avec la
police, et éventuellement divulguer l’attaque au public.
En terme d’attaques, la probabilité est plutôt de l’ordre du
« quand » que du « si », et le grand public comprend cela de mieux en
mieux, de sorte qu’il est préférable, du point de vue des relations
publiques, d’être ouvert et transparent dès le début, plutôt que de se
taire (comme l’avait fait Uber). Selon la gravité de l’attaque,
l’entreprise devra peut-être faire appel à des experts externes. Il
faudra aussi qu’elle essaye de tirer les leçons de l’attaque et
d’améliorer ses processus de sécurité pour réduire à l’avenir des
risques d’attaques similaires.
Cyberattaque: Après Uber, Samsung et La Poste Mobile, c'est au tour de la banque en ligne Revolut
Piratage Revolut : les données de 50 000 clients dérobées
La banque en ligne Revolut a été
victime d'une cyberattaque, et les données personnelles de plus de
50 000 clients sont désormais dans la nature. La néobanque se veut
néanmoins rassurante : les fonds bancaires sont en sécurité.
Assurément, les pirates sont rentrés de vacances. Et ils ne chôment pas en ce moment ! Après Uber, Samsung et La Poste Mobile, c'est au tour de la banque en ligne Revolut d'être victime d'une cyberattaque. La néobanque a révélé à Bleeping Computer avoir repéré, le dimanche 11 septembre, une intrusion "extrêmement ciblée"
dans ses systèmes d'un tiers non autorisé, qui a alors pu accéder à
certaines données de sa clientèle. Il faut dire qu'avec ses 20 millions
de clients répartis aux quatre coins du globe, la banque en ligne
britannique est une cible de choix pour les pirates. Le hacker a pu
accéder aux adresses mail, noms, adresses postales et numéros de téléphone, ainsi qu'à des informations de comptes bancaires et à des "données limitéessur les cartes de paiement"
de 0,16 % des clients. Cela correspond à exactement 50 150 adhérents –
dont 20 687 dans l'espace économique européen – comme le révèle l'Inspection nationale de la protection des données en Lituanie
– où Revolut dispose d'une licence bancaire. Les détails, ainsi que
l'identité de son auteur, n'ont pas été dévoilés, si ce n'est que ce
dernier a eu recours à l'ingénierie sociale pour parvenir à ses fins.
Revolut : un risque de phishing accru
La néobanque a tout de même voulu être rassurante, en affirmant que les numéros de carte bancaire,
les codes personnels et les mots de passe d'accès aux comptes n'ont pas
été compromis durant l'attaque. Les pirates n'ont également pas eu
accès aux comptes bancaires. "L'argent de nos clients est en
sécurité – comme il l'a toujours été. Tous les clients peuvent continuer
à utiliser leurs cartes et leurs comptes normalement", insiste un porte-parole de Revolut auprès de Bleeping Computer. La firme précise sur Twitter
que les clients concernés ont été directement contactés par e-mail –
pas de panique pour ceux qui ne reçoivent rien donc. Elle en profite
toutefois pour rappeler que les informations dérobées peuvent aider les
escrocs à se faire passer pour la banque en ligne elle-même, afin de
récupérer cette fois-ci les mots de passe ou les numéros de leur carte
bancaire tant convoités – le fameux phishing.
C'est pourquoi il est primordial de ne jamais communiquer
d'informations personnelles par e-mail ou par téléphone. Revolut ne
contactera personne au sujet de la cyberattaque, et tout SMS/mail/appel à
ce propos est donc frauduleux. En cas du moindre doute, il faut appeler
immédiatement le service client. Les cybercriminels cherchent à
exploiter les émotions de leurs victimes pour leur extraire des
informations, et cherchent à la pousser à agir sans réfléchir. C'est
pourquoi il ne faut surtout pas céder à la précipitation et toujours
vérifier.
Cet incident intervient à un bien mauvais moment pour Revolut, dont les comptes sont actuellement sous le feu des projecteurs.
En effet, le cabinet BDO, qui s'occupe de l'audit de la banque en ligne
– c'est-à-dire qu'il analyse sa comptabilité et sa gestion –, est
accusé par le régulateur comptable britannique (FRC), qui juge que "l'approche
globale de l'équipe d'audit en matière de comptabilisation des revenus
était inadéquate et, par conséquent, que le risque d'anomalie
significative non détectée atteignait un niveau inacceptable." Il
se peut donc qu'il y ait des erreurs dans les chiffres communiqués, ce
qui pourrait contraindre Revolut à publier ses résultats avec du retard.
Une mauvaise publicité dont la banque en ligne se serait bien passée.
Augmentation des cyberattaques dans la région d'Ottawa liées au dark web et à une nouvelle vague de criminels
"Le nombre de cyber-acteurs augmente et ils deviennent beaucoup plus sophistiqués."
Auteur de l'article : Matthieu Lapierre
Date de publication : 20 décembre 2021 • 20 décembre 2021
Les cybercriminels sont de plus en plus nombreux et ciblent les systèmes informatiques avec une plus grande sophistication Les cybercriminels sont de plus en plus nombreux et ciblent les systèmes informatiques avec une plus grande sophistication
En septembre, sur un site Web sur une partie cachée d'Internet, des tonnes de données confidentielles sont apparues.
Les données ressemblaient à une liste de dossiers et de fichiers, étiquetés avec des titres comme "Client_web_backup". Les fichiers provenaient de serveurs informatiques appartenant à la Société de Transports de L'Outaouais — le fournisseur de transport en commun de Gatineau.
Un message inquiétant l'accompagnait : « la STO a subi une brèche et ils ont refusé de payer ».
Ce journal a passé en revue les données de la STO qui ont été mises en ligne. Nous avons choisi de ne pas identifier le groupe qui a orchestré la violation de données, ni le site sur lequel les données ont été publiées, car cela pourrait amener d'autres personnes à les trouver et à les utiliser.
Les responsables de la violation de données ont déclaré à ce journal qu'ils avaient demandé à la STO une rançon de 3 millions de dollars américains pour que les données soient supprimées du Web.
L'apparition des données a plongé la STO dans le chaos. "L'attaque a été très grave", a déclaré Patrick Leclerc, PDG de la STO, aux journalistes lors d'une conférence de presse en septembre. "Pour faire simple, c'est comme si les attaquants mettaient un verrou sur nos systèmes pour nous empêcher de les utiliser... Suite au refus de la STO de payer la rançon demandée, les cyber-attaquants ont publié des fichiers sur le dark web."
Le scénario décrit par Leclerc est de plus en plus courant. Les cybercriminels sont de plus en plus nombreux et ciblent les systèmes informatiques avec une plus grande sophistication et les forces de l'ordre sont confrontées à une pression accrue pour trouver et arrêter les responsables.
"Le nombre de violations de données, aujourd'hui, a atteint son apogée - pour ne pas dire qu'il va baisser", a déclaré Vern Crowley, un sergent-détective travaillant au sein de l'unité de cybercriminalité de la Police provinciale de l'Ontario.
Crowley a été aux premières loges de la montée de la cybercriminalité au cours de la dernière décennie et de son récent pic. Il a grandi avec une affinité pour les ordinateurs, a-t-il dit, et, lorsqu'il s'est joint à l'OPP il y a plus de 30 ans, la force commençait tout juste à passer au numérique. Crowley est rapidement devenu "l'un de ces gars qui aide au bureau, aide à réparer et/ou à configurer certains des systèmes informatiques".
Des tonnes de données confidentielles ont été dérobées à la Société de transport de l'Outaouais cet automne. Les responsables de la violation de données ont déclaré à ce journal qu'ils avaient demandé à la STO une rançon de 3 millions de dollars américains pour que les données soient supprimées du Web. Suite au refus de la STO de payer la rançon, les cyber-attaquants ont publié des fichiers sur le dark web. Des tonnes de données confidentielles ont été dérobées à la Société de transport de l'Outaouais cet automne. Les responsables de la violation de données ont déclaré à ce journal qu'ils avaient demandé à la STO une rançon de 3 millions de dollars américains pour que les données soient supprimées du Web. Suite au refus de la STO de payer la rançon, les cyber-attaquants ont publié des fichiers sur le dark web.
La force a remarqué le talent de Crowley pour les ordinateurs et l'a envoyé suivre une formation en criminalistique numérique au Collège canadien de police. À son retour, il a travaillé sur des enquêtes sur les voies numériques, passant du temps à extraire des preuves d'ordinateurs et de disques durs saisis lors d'enquêtes.
Au fur et à mesure que la Police provinciale de l'Ontario numérisait ses systèmes, devenant de plus en plus dépendante des ordinateurs, le reste du monde en faisait de même. Les entreprises et les gouvernements ont commencé à stocker leurs informations confidentielles de nouvelles façons - le cloud computing est devenu la norme en 2010 - et les voleurs et les pirates cherchaient des moyens de les voler.
Vers 2015, Crowley et d'autres de l'OPP ont remarqué une augmentation du nombre de systèmes informatiques attaqués. Les ordinateurs n'étaient plus simplement utilisés pour faciliter d'autres crimes, comme la fraude. Désormais, alors que les personnes, les entreprises et les institutions dépendaient des systèmes informatiques, les criminels accédaient à ces systèmes, les ciblaient et les retenaient en otage.
Mais Crowley et ses collègues ont remarqué qu'en tant que policiers, ils n'avaient pas vraiment les outils ou les ressources pour sévir contre cette nouvelle race de criminels. "Nous n'avions pas la capacité ou la capacité à l'époque de mener une enquête complexe sur la cybercriminalité", a-t-il déclaré. Alors, L'OPP a créé son unité de cybercriminalité, qui a officiellement commencé à fonctionner en 2018, et Crowley est devenu l'un de ses premiers membres.
Aujourd'hui, Crowley et ses collègues répondent aux appels où la technologie est la cible du crime. Aux débuts de l'unité de cybercriminalité, ces crimes, bien qu'ils ne soient pas nécessairement rares, étaient souvent le résultat d'un petit nombre de personnes dans le monde qui avaient des capacités de piratage avancées.
Mais maintenant, ces compétences et la capacité d'accéder aux systèmes informatiques sont devenues facilement accessibles même aux programmeurs non qualifiés.
« Le nombre de cyberacteurs augmente et ils deviennent beaucoup plus sophistiqués », a déclaré Sami Khoury, chef du Centre canadien pour la cybersécurité (CCCS), qui surveille et met en garde contre les nouvelles cybermenaces au Canada. Le centre a été créé en 2018, la même année que Crowley et l'unité de cybercriminalité de l'OPP ont commencé à travailler. "Quelles capacités, il y a quelques années, nous pensions être du domaine de très, très peu d'acteurs, maintenant elles deviennent encore plus répandues", a déclaré Khoury.
Un rapide aperçu des sites de rançongiciels sur Tor, un navigateur Internet qui permet aux utilisateurs d'accéder à des parties d'Internet inaccessibles via un navigateur normal, révèle tout un marché caché. Il a toujours été dit que tout peut être acheté sur cette partie d'Internet, familièrement connue sous le nom de "web sombre". De la drogue au tueur à gages, tout est là. le
Ce journal a récemment scanné le dark web et a trouvé des services de rançongiciels facilement disponibles et une multitude d'ensembles de données volés à des entreprises et des institutions, y compris les données de la STO et d'autres du Québec, de l'Ontario et de partout au Canada.
Une violation de données se produit lorsqu'un pirate accède à un réseau de données, ce qui peut se faire de multiples façons - en envoyant des e-mails de phishing ou en trouvant des faiblesses dans le site Web ou l'application mobile d'une entreprise, par exemple.
Une fois à l'intérieur, les cybercriminels volent des données ou les rendent inutilisables, obligeant leurs victimes à racheter l'accès à leurs propres informations. Cette dernière menace est appelée une attaque de ransomware.
Les entreprises et les particuliers peuvent se protéger, ont déclaré Khoury et Crowley, en ayant des mots de passe forts et en utilisant une authentification multifacteur, et, s'ils sont victimes d'une cyberattaque, ils doivent signaler l'incident à l'OPP et au CCCS.
Contenu de l'article
Cela vaut la peine d'être préparé, a déclaré Crowley, car "ce n'est pas une question de savoir si (une cyberattaque se produira), c'est une question de quand".
Les cybercriminels « tirent sans discernement dans toutes les directions », a déclaré Khoury. "Ils n'ont aucun scrupule, ils vont là où ils peuvent trouver de l'argent ou là où ils pensent que la victime doit payer."
Les patients du Rideau Valley Health Centre ont commencé à rencontrer des problèmes avec leurs réservations en raison d'une cyberattaque, et un mois plus tard, le centre de santé signalait toujours des problèmes.
Les patients du Rideau Valley Health Centre ont commencé à rencontrer des problèmes avec leurs réservations en raison d'une cyberattaque, et un mois plus tard, le centre de santé signalait toujours des problèmes.
En plus de la STO, plusieurs établissements de santé et municipalités de la région d'Ottawa ont récemment signalé être touchés par des « incidents de cybersécurité ». Le Centre de santé de la vallée Rideau, l'hôpital du district de Kemptville et la municipalité de Clarence-Rockland sont parmi ceux qui ont été touchés.
Ces types d'incidents, qui sont souvent causés par des rançongiciels, peuvent paralyser un réseau et interrompre les capacités informatiques pendant des semaines ou plus. Les patients ont commencé à rencontrer des problèmes avec leurs réservations au Rideau Valley Health Centre à la fin octobre et un mois plus tard, le centre de santé signalait toujours des problèmes. L'hôpital de Kemptville a déclaré à ce journal le 23 novembre que les travaux de restauration de ses systèmes informatiques étaient en cours, "mais nous avons pu reprendre la plupart de nos services ces dernières semaines, à l'exception de certains services d'imagerie diagnostique".
Et les criminels à l'autre bout de ces attaques restent souvent dans l'ombre. "La technologie fonctionne pour les forces de l'ordre, mais elle fonctionne contre nous", a déclaré Crowley. «Les cybercriminels utilisent des technologies telles que Tor, la crypto-monnaie, pour aider à se cacher des forces de l'ordre. Contrairement à CSI, où il faut une heure pour résoudre l'affaire, malheureusement, cela prend beaucoup plus de temps que cela.
Les responsables de l'application des lois ont cependant eu un certain succès. La Police provinciale de l'Ontario a arrêté Matthew Philbert, 31 ans, d'Ottawa, le 30 novembre, après une enquête de 22 mois. Les enquêteurs ont déclaré que Philbert, qui fait face à trois accusations liées à la cybercriminalité, était prolifique dans son utilisation de ransomwares, ciblant tout le monde, des gouvernements aux particuliers.
"C'est un type de crime très laid et invasif », a déclaré le dét.Insp.Matt Watson de la Direction des enquêtes criminelles de la Police provinciale de l'Ontario a parlé des actions présumées de Philbert.
Mais, alors que Watson et l'OPP ont qualifié l'arrestation de Philbert de victoire lors d'une récente conférence de presse, l'ampleur du problème croissant de la cybercriminalité planait sur leur annonce."J'ai toute une équipe de cyber-enquêteurs et ils sont pleinement employés en ce moment", a déclaré Watson à ce journal."Je pourrais utiliser 10 enquêteurs de plus."
La cybersécurité est un thème qui prend de plus en plus d’ampleur au
sein même des gouvernements. Les cyberattaques ont en effet connu une
très forte hausse depuis le début de la pandémie, et plus particulièrement les ransomwares. L’attaque de l'entreprise Colonial Pipeline,
qui a entraîné la mise à l’arrêt de l’un des plus importants oléoducs
américains, est le parfait exemple des dangers qu’ils peuvent
représenter.
La cyberattaque de SolarWinds,
ayant touché de très nombreuses entreprises mais également des agences
gouvernementales américaines, a par ailleurs mis en lumière les
défaillances de la cybersécurité du pays. Ce secteur est désormais de
très haute importance avec de très grands enjeux géopolitiques et économiques. Pour cette raison, l’administration Biden a décidé d’en faire l’une de ses priorités : après l’annonce de plusieurs directives au mois de mai dernier pour renforcer les cyber infrastructures de son pays, le président a également organisé un sommet avec le secteur privé à ce sujet.
Plus récemment, les hauts responsables de la cyberdéfense américaine ont appelé le Congrès à sévir contre les entreprises ne signalant pas les cyberattaques.
Les entreprises obligées de rapporter tous les cyber incidents
Comme le rapporte le Wall Street Journal,
le Département de la Justice va aller dans ce sens. Il va en effet
utiliser les pouvoirs qui lui sont conférés par le False Claims Act pour
sanctionner les sociétés ne rapportant pas les cyber incidents qu’elles
subissent. Cette loi datant de la guerre civile cible les entreprises
ou les organisations qui fraudent le gouvernement. Elle stipule par
exemple que le fait de soumettre une demande de fonds comprenant de
fausses informations, comme un entrepreneur qui envoie une facture pour
des travaux qu'il n'a pas effectués, constitue une violation.
Dans le cas de la cybersécurité, les sanctions toucheront les entreprises ne respectant pas les normes requises. «
Pendant trop longtemps, les entreprises ont choisi le silence en
pensant, à tort, qu'il était moins risqué de cacher une violation que de
la signaler. Eh bien, cela change aujourd'hui. Lorsque ceux à qui l'on
confie des fonds publics, qui sont chargés de travailler sur des
systèmes gouvernementaux sensibles, ne respectent pas les normes de
cybersécurité requises, nous allons nous attaquer à ce comportement et
infliger des amendes très lourdes », a ainsi déclaré le procureur général Lisa Monaco.
Le Département de la Justice précise que les entreprises recevant des
fonds fédéraux et qui, en connaissance de cause, font de fausses
déclarations concernant leurs défenses, fournissent des équipements de
cybersécurité défectueux ou ne signalent pas les incidents, sont toutes
concernées par la nouvelle initiative.
Un texte trop ancien ?
Selon Lisa MacLean, directrice de l'enseignement de la cybersécurité à
la Flatiron School, une organisation éducative de New York, cette
mesure n’est peut-être pas la bonne solution du fait de l’ancienneté du
texte, qu’il sera difficile d’adapter aux défis de la cybersécurité
actuelle : « Il faut trouver un équilibre entre la nécessité
d'inciter les entreprises à éviter ces problèmes et celle de ne pas
ruiner complètement leur réputation ou leurs moyens de subsistance », assure-t-elle.
Si cette annonce est une nouvelle preuve du combat mené par le
gouvernement américain face aux cyber menaces, ce dernier devra
probablement aller beaucoup plus loin afin de garantir sa sécurité. Pour
donner un ordre d’idée sur les enjeux de la sécurité en ligne, il faut
savoir que les investissements dans les startups spécialisées en
cybersécurité ont plus que doublé lors du 1er semestre 2021.
Intel vient d'être choisi par la DARPA, le département américain de
la Défense spécialisé dans les nouvelles technologies, pour diriger son
programme de cybersécurité GARD.
Intel aura pour mission d'aider les États-Unis à se prémunir des attaques basées sur l'apprentissage machine.
GARD en réponse aux piratages de l'apprentissage machine
L'apprentissage
machine est une méthode visant à améliorer les services d'une
intelligence artificielle. C'est un concept utilisé notamment dans la
reconnaissance d'objets, où l'IA peut apprendre à force d'exemples et
d'essais. Mais bien que ce soit encore assez rare, ces intelligences
artificielles peuvent également être manipulées pour réaliser des
piratages d'un nouveau genre. Il y a quelques semaines, McAfee a ainsi
rendu un rapport affirmant que l'on pouvait tromper facilement une Tesla afin de la faire rouler à 135 km/h sur une route à 50 km/h.
La DARPA veut donc prendre les devants. L'année passée, l'agence a créé un nouveau programme appelé GARD, pour Guaranteeing AI Robustness against Deception.
Des contre-mesures existent déjà contre les attaques se focalisant sur
les appareils reposant sur l'apprentissage machine. Mais la DARPA espère
que GARD lui fournira un système de défense plus développé et apte à
répondre à un plus grand nombre d'attaques différentes.
Dans un communiqué publié jeudi 9 avril, Intel a annoncé que la DARPA lui
avait confié la direction du projet, conjointement à l'institut de
technologie de Géorgie. Les deux organismes se chargeront des travaux de
GARD pendant quatre ans.
Jason Martin, ingénieur principal chez Intel Labs et chercheur principal du projet a déclaré : « Grâce
à des recherches innovantes sur les techniques de cohérence, nous
collaborerons à une approche visant à améliorer la détection d'objets et
à améliorer la capacité de l'IA et du machine learning (ML) à répondre
aux attaques ».
Le constructeur ajoute que « dans la première phase de GARD, Intel et
Georgia Tech amélioreront les technologies de détection d'objets grâce à
la cohérence spatiale, temporelle et sémantique des images fixes et des
vidéos ». La DARPA, de son côté a déclaré que GARD pourrait être
utilisé dans un certain nombre de contextes. Hava Siegelmann,
gestionnaire de programme au bureau d'innovation de l'information de la
DARPA compare le projet à un système immunitaire identifiant les
attaques de virus pour mieux les comprendre et s'en prémunir par la
suite. Elle ajoute : « Nous devons nous assurer que l'apprentissage automatique est sûr et qu'il ne peut pas être trompé ».
Sécurité : Le botnet Emotet,
souvent considéré comme l’un des plus dangereux, reprend ses opérations
après avoir été silencieux pendant près de quatre mois.
Emotet, l’un des botnets de logiciels malveillants les plus importants
du moment, a repris vie après une période d’inactivité de près de quatre
mois à compter de la fin du mois de mai de cette année.
Durant cette période, les serveurs de commande et de contrôle
(C&C) du réseau d’ordinateurs infectés avaient été arrêtés et Emotet
a cessé d’envoyer des commandes aux machines infectées, ainsi que de
diffuser nouvelles campagnes de spam par courrier électronique pour
infecter de nouvelles victimes.
Certains chercheurs en sécurité espéraient que les forces de l'ordre
avaient secrètement trouvé un moyen de bloquer ce botnet. Ce n'était pas
le cas.
Nouvelles campagnes de spam
Emotet a commencé à diffuser de nouveaux spams hier selon Raashid Bhat, chercheur en sécurité chez SpamHaus.
Selon
Bhat, les e-mails contenaient des pièces jointes malveillantes ou des
liens vers des pages contenant des téléchargements malveillants. La
campagne de spam lancée hier via Emotet vise principalement des
utilisateurs polonais et germanophones.
Les utilisateurs qui reçoivent ces courriels, téléchargent et
exécutent l’un des fichiers malveillants s’exposent au risque d’être
infectés par le programme malveillant Emotet.
Une fois infectés, les ordinateurs sont ajoutés au botnet Emotet. Le
malware Emotet sur les ordinateurs infectés est notamment utilisé pour
télécharger et installer d’autres programmes malveillants.
Emotet est connu pour fournir des modules capables d'extraire les
mots de passe d'applications locales, de se déplacer et d’infecter
d'autres ordinateurs du même réseau, et même de voler des thread d'emails complets pour les réutiliser ultérieurement dans des campagnes de spam.
En outre, les opérateurs d’Emotet sont également connus pour
proposer leur botnet en tant que Malware-as-a-Service (MaaS) : d'autres
gangs criminels peuvent louer l'accès à des ordinateurs infectés par
Emotet et diffuser leurs propres programmes malveillants aux côtés
d'Emotet.
Certains des clients les plus connus d’Emotet sont les opérateurs
des souches de ransomware Bitpaymer et Ryuk, qui ont souvent loué
l’accès à des hôtes infectés par Emotet pour infecter des réseaux
d’entreprise ou des administrations locales avec leurs ransomwares.
Le renouveau d’Emotet n’est pas une surprise totale pour les chercheurs
en sécurité. Les serveurs C&C d’Emotet sont devenus inactifs à la
fin du mois de mai, mais ils ont repris vie à la fin du mois d’août.
Ils n'ont néanmoins pas commencé à envoyer du spam tout de suite. Au
cours des dernières semaines, les serveurs C&C étaient restés
inactifs, diffusant des fichiers binaires pour les modules "déplacement
latéral" et "vol de justificatifs d'identité", a déclaré Bhat à ZDNet au
cours d'une interview.
Bhat pense que les opérateurs d’Emotet ont passé ces dernières
semaines à rétablir les communications avec des appareils précédemment
infectés qu'ils avaient abandonnés fin mai et à se répandre sur les
réseaux locaux afin de maximiser la taille de leur botnet avant de
passer à leur activité principale : l’envoi de spam.
Plusieurs chercheurs en sécurité ont prédit cette période de montée en
puissance le mois dernier, lorsque l'équipe Emotet a réactivé les
serveurs C&C.
not to
mention the distribution wing is a whole botnet of its own that needs to
be fired up, fed hacked wordpress inventory, shells deployed, etc. even tiered infrastructure for the distro wing.
Le fait que les opérations d'Emotet aient été interrompues pendant
quelques mois n'est pas vraiment une nouveauté. Les réseaux botnets
malveillants restent souvent inactifs pendant des mois pour différentes
raisons.
Certains botnets deviennent silencieux afin de procéder à la mise à
niveau de leur infrastructure, tandis que d'autres le font simplement
parce que leurs opérateurs prennent des vacances. Par exemple, le botnet
Dridex diminue régulièrement son activité chaque année entre la
mi-décembre et la mi-janvier, pour les vacances d'hiver.
À l’heure d’écrire cet article, on ne sait pas pourquoi Emotet
s'est arrêté pendant l'été. Néanmoins, le botnet est revenu à son état
précédent, continuant de fonctionner en utilisant un modèle d'infrastructure double basé sur deux botnets distincts.
TrickBot veut la couronne
Mais même si Emotet a mis fin à ses activités pendant près de
quatre mois, les autres botnets n'ont pas fait de pause. Pendant
qu’Emotet était en panne, les opérateurs du botnet TrickBot ont pris la
place du botnet le plus actif du marché.
This chart
shows the number of Emotet Vs. TrickBot malware samples since Jan 2019.
You can clearly see the disappearance of Emotet 📉 malspam campaigns end
of May and the rise of TrickBot 📈 in July that is nowadays used to
deploy Ransomware 🔒💰on corporate networks 🏛️ pic.twitter.com/IdPoGxYMbO
Emotet
et TrickBot partagent de nombreuses similitudes. Tous deux étaient à
l’origine des chevaux de Troie bancaires qui ont été recodés pour être
utilisés en tant que « dropper » de logiciels malveillants - des
logiciels malveillants téléchargeant d’autres logiciels malveillants.
Les deux infectent les victimes, puis téléchargent d'autres modules pour
voler des informations d'identification ou se déplacer latéralement sur
un réseau. En outre, ils vendent tous deux l'accès aux machines
infectées à d'autres groupes malveillants, pour des opérations de minage
de cryptomonnaie ou des attaques de ransomware.
Avec l’essor de Trickbot, le réveil d’Emotet est une mauvaise nouvelle
pour les administrateurs système chargés de la protection des réseaux
d’entreprise et gouvernementaux, cibles favorites des deux botnets.
Les chercheurs en sécurité et les administrateurs système
cherchant des hashs de fichiers, des adresses IP de serveur, des lignes
d'objet d'e-mails de spam et d'autres indicateurs de compromission (IOC)
peuvent trouver ces données sur Twitter. Cryptolaemus, un groupe de chercheurs en sécurité surveillant le botnet Emotet, a également publié des indicateurs de compromission destinés à ceux qui souhaitent se protéger.
Source : Emotet, today's most dangerous botnet, comes back to life
banque, vol de donné, argent, cyberattaques, hackers nord-coréens,
Technologie : Les groupes de
pirates nord-coréens Lazarus, Bluenoroff et Andarial sont désormais
entrés dans le groupe très fermés des cibles prioritaires des autorités
américaines. Et les sanctions ne se sont pas faites attendre.
Le département du Trésor américain a imposé la semaine passée des
sanctions à trois groupes de pirates informatiques contrôlés par le
régime nord-coréen au motif que ces derniers auraient aidé Pyongyang à
lever des des fonds pour ses programmes d'armes et de missiles. Les
trois groupes cités par Washington ne sont pas inconnus du milieu. Il
s'agit en effet des groupes Lazarus, Bluenoroff et Andarial. Pour le
Trésor américain, ces derniers opéreraient sous le contrôle et sur ordre
du Bureau général de reconnaissance (RGB), le principal bureau de
renseignement de la Corée du Nord.
Ils auraient notamment eu
recours à des logiciels de rançon et des attaques contre des banques,
des réseaux de guichets automatiques, des sites de jeu, des casinos en
ligne et des échanges de devises cryptographiques pour voler des fonds à
des entreprises au bénéfice des programmes d'armements nord-coréens.
Les États-Unis affirment que les fonds volés ont été détournés en Corée
du nord, où ils ont été utilisés pour aider le régime de Pyongyang à
continuer de financer son programme controversé de missiles nucléaires.
Outre
les sanctions prononcées la semaine passée par l'Office of Foreign
Assets Control (OFAC) du Trésor américain, les États-Unis ont donné
instruction aux membres du secteur bancaire mondial de geler tout actif
financier associé à ces trois groupes.
Le groupe Lazarus
Des
trois groupes nommés aujourd'hui, le nom Groupe Lazarus (aussi connu
sous le nom de Cobra Caché) est parfois utilisé pour décrire tout
l'appareil de cyberespionnage nord-coréen. Il ne s'agit toutefois que
d'un groupe parmi d'autres, bien qu'il se soit aujourd'hui imposé comme
le plus célèbre dans le milieu de la cybercriminalité. Il opère sous
l'autorité du RGB et a accès à des ressources élargies mises à sa
disposition par le service nord-coréens.
Selon Washington, le
groupe Lazarus est un subordonné du 110e Centre de recherche sous le 3e
Bureau du RGB. Ce bureau, également connu sous le nom de 3e Bureau de
surveillance technique, est chargé de superviser l'ensemble des
opérations cybernétiques de la Corée du Nord. Les opérations les plus
tristement célèbres du groupe Lazarus ont été le piratage de Sony
Pictures Entertainment en 2014, et l'épidémie de rançon WannaCry de mai
2016.
Il ne s'agit toutefois que de deux des nombreux "faits
d'arme" du groupe formé en 2007. Les représentants du Trésor ont
également déclaré que le groupe a également ciblé des sociétés
gouvernementales, militaires, financières, manufacturières, de
publication, de médias, de divertissement et de transport maritime
international, ainsi que des infrastructures essentielles, en utilisant
des tactiques telles que la cyber-espionnage, le vol de données, le
détournement de fonds et les opérations de destruction de logiciels. Les
pertes financières causées par ce groupe sont inconnues, mais leurs
vastes opérations en font le plus dangereux et le plus connu des trois.
Le groupe Bluenoroff
Mais
alors que les activités du groupe Lazare se sont largement répandues,
le deuxième groupe de fonctionnaires du Trésor nommé semble pour sa part
avoir été créé spécifiquement pour pirater les banques et les
institutions financières. "Bluenoroff a été créé par le gouvernement
nord-coréen pour gagner des revenus de manière illicite en réponse à
l'augmentation des sanctions mondiales", a ainsi fait savoir
l'état-major de l'administration du Trésor américain.
"Le groupe
Bluenoroff mène des activités cybernétiques malveillantes sous la forme
de cambriolages cybernétiques contre des institutions financières
étrangères au nom du régime nord-coréen afin de générer des revenus, en
partie pour ses programmes croissants d'armes nucléaires et de missiles
balistiques", a-t-il expliqué pour mettre en lumière la dangerosité de
ce groupe.
Depuis sa formation en 2014, le groupe (également connu
sous le nom de APT38 ou Stardust Chollima), est connu pour avoir mené
des cyber-attaques contre des banques au Bangladesh, en Inde, au
Mexique, au Pakistan, aux
Philippines, en Corée du Sud, à Taiwan, en Turquie, au Chili et au
Vietnam. Son fait de piratage le plus célèbre demeure à ce jour sa
tentative de voler 1 milliard de dollars sur le compte de la Réserve
fédérale de New York de la Banque centrale du Bangladesh. Si le hold-up a
échoué, les pirates ont toutefois réussi à subtiliser 80 millions de
dollars lors de cette attaque.
Le groupe Andariel
Le
troisième groupe nommé par Washington est actif depuis 2015 et se
spécialise, selon le Trésor américain, dans des faits de
cyberespionnage. Il s'agit du groupe Andariel, qui a souvent été vu en
train de cibler le gouvernement et la population de la Corée du Sud
"pour collecter des informations et créer du désordre" ainsi que pour
"tenter de voler des informations sur les cartes bancaires en piratant
des distributeurs automatiques de billets pour retirer des espèces ou
voler des informations sur des clients pour les vendre ensuite sur le
marché noir".
En outre, Andariel est le groupe nord-coréen
"responsable du développement et de la création de logiciels
malveillants uniques pour pirater les sites de poker et de jeux en ligne
afin de voler de l'argent", comme l'a fait savoir l'administration
américaine.
Celle-ci s'est notamment appuyée sur un rapport publié plus tôt cette année
par le groupe d'experts des Nations Unies sur le renseignement sur la
menace, concluant que les pirates nord-coréens avaient volé environ 571
millions de dollars sur au moins cinq échanges de devises
cryptographiques en Asie entre janvier 2017 et septembre 2018. Le
rapport de l'ONU fait écho à deux autres rapports publiés en octobre
2018, qui pointaient également du doigt les pirates nord-coréens pour
deux escroqueries de cryptocriminalité et cinq piratages de plateformes
commerciales. Un rapport de FireEye
d'octobre 2018 blâmait également les pirates nord-coréens pour avoir
effectué des vols de banque de plus de 100 millions de dollars. "US Treasury sanctions three North Korean hacking groups", traduit et adapté par ZDNet.fr
Sécurité : Quatre écoles sur
cinq admettent avoir connu un incident de sécurité, mais seule la
moitié des sondés se déclarent prêts à répondre à une véritable attaque
informatique.
Quatre écoles sur cinq ont été victimes d'un incident de cybersécurité,
telles qu'un phishing ou un logiciel malveillant, et une sur cinq a
signalé un accès non autorisé à ses ordinateurs, réseaux ou serveurs par
ses propres élèves.
Les conclusions proviennent d'un audit de sécurité
effectué dans plus de 430 écoles du Royaume-Uni par le National Cyber
Security Centre (le département cybersécurité de l'agence de
surveillance GCHQ) et le London Grid for Learning (LGfL).
L’audit a révélé
que presque toutes les écoles (97%) estimaient que la perte d’accès à
des services informatiques connectés à un réseau causerait des
perturbations considérables. La grande majorité des écoles (83%) ont été
affectées par au moins un type d'incident de sécurité.
Ainsi, 69% des écoles déclarent avoir été la cible d’attaques par hameçonnage et
35% ont eu des périodes sans accès à des informations importantes,
tandis que 30% ont déclaré avoir été victimes d’un programme
malveillant, notamment de virus ou de ransomware. Et 20% ont déclaré
avoir été victimes d'attaques d'usurpation d'identité, dans lesquelles
les mails de l’école étaient imités par d'autres.
Nos chères têtes blondes
Un peu plus d'une école sur cinq - 21% - a déclaré avoir constaté
l’utilisation des ordinateurs, des réseaux ou des serveurs (y compris
une utilisation accidentelle) par des élèves sans autorisation, tandis
que 11% estimaient avoir déjà vu l’utilisation des ordinateurs, des
réseaux ou des serveurs sans autorisation par des membres de l’équipe.
Seulement 4% ont déclaré qu'il y avait eu une utilisation d’origine
externe non autorisée et encore moins - 3% - ont admis des fuites
d'informations confidentielles à partir de systèmes en ligne.
"Depuis l'entrée en vigueur du GDPR en mai 2018, de nouvelles
exigences ont été imposées aux écoles en matière d'accès et de
protection des données. Néanmoins, 21% déclarent avoir fait face à des
utilisations non autorisées des systèmes par les élèves.", indique le
rapport.
Les pirates informatiques considèrent souvent les écoles comme
une cible intéressante, car elles disposent de fonds et de compétences
limitées en matière de cybersécurité pour se protéger, tout en détenant
de grandes quantités de données sensibles.
Pour un point de vue plus positif, plus de 95% des écoles
disposent de pare-feu, d’antivirus, de sauvegardes de données et de
mises à jour logicielles à jour. 85% avaient un plan de cybersécurité,
mais 41% seulement avaient un plan de continuité des opérations et
l’audit a révélé que les pratiques de cybersécurité strictes, telles que
la gestion des appareils mobiles et l’authentification à deux facteurs,
étaient relativement peu utilisées.
"Les budgets sont serrés, le programme est serré et l'école vise à
assurer la sécurité des enfants et à fournir la meilleure éducation
possible. Vous n'entendrez donc pas souvent les écoles parler de leur
préparation en matière de cybersécurité. Si les hôpitaux ont
particulièrement été affectés par les perturbations causées par le virus
WannaCry, les écoles sont aussi susceptibles que toute organisation de
faire face à des attaques DDoS et de phishing ", a déclaré Mark Bentley,
responsable de la sécurité et de la cybersécurité chez LGfL. Source. : Cybersecurity: One in five schools says students have broken into computer systems
Vous l’avez sans doute constaté : les actualités concernant les cyberattaques sont toujours plus nombreuses.
Qu’il s’agisse d’écoles américaines victimes de ransomwares ou
d’installations électriques infiltrées par des groupes de pirates
financés par des états hostiles, tout le monde est concerné. L’IRIS
(Incident Response and Intelligence Services), une entité d’IBM, a
publié un rapport qui confirme ce sentiment.
Les compagnies internationales sont de plus en plus visées…
Selon l’IRIS, les cyberattaques destructives sont effectivement
toujours plus nombreuses. Leur nombre aurait augmenté de pas moins de 200 % au cours du premier semestre 2019 (par rapport au premier semestre 2018). Ce chiffre est tiré de l’analyse des cyberattaques reportées à la compagnie.
La plupart d’entre elles « se produisent en Europe, aux États-Unis et
au Moyen-Orient dans l’industrie manufacturière […] et les secteurs du
pétrole, du gaz et de l’éducation ».
À en croire IBM, cette tendance ne risque pas de s’amenuiser. Alors
que les attaques constatées sur les neuf dernières années étaient financées par des États-nations qui souhaitent nuire à leurs adversaires, le profile des cybercriminels actuels est moins bien défini, les motivations de ces derniers étant financières
plus que politiques. Ils s’intéressent aussi bien à des entreprises
qu’à des institutions dont l’intérêt géostratégique n’est pas évident au
premier abord.
Mais tout le monde est une victime potentielle
Tout le monde est désormais potentiellement une cible potentielle de
ces attaques. La X-Force IRIS donne des chiffres pour appuyer son
constat. Les multinationales sont bien évidemment les premières victimes des cyberattaques.
En moyenne, chacune des entreprises visées aurait perdu l’équivalent de
239 millions $ (214 millions €). Selon les experts d’IBM, remettre les
systèmes attaqués prendrait en moyenne 512 heures de travail. De plus, une seule cyberattaque mettrait hors-service 12 000 machines par compagnie. Autant d’appareils qu’il faudra certainement renouveler.
En tout état de cause, il est plus que jamais important de mettre une
politique de sécurité en place. Authentification multifactorielle, backup sur disque dur externe (et pas uniquement dans le Cloud), et pourquoi pas utilisation d’une clé USB de sécurité,
tout est bon pour sécuriser votre environnement informatique. En tout
cas, il ne fait aucun doute que ce rapport permettra à IBM de remporter
encore plus de contrats de sécurité.
Les attaques de logiciels malveillants mobiles sont en plein essor en 2019
Sécurité : Les chercheurs de
Check Point mettent en garde contre une augmentation de 50% des
cyberattaques ciblant les smartphones par rapport à l’année précédente.
Les attaques de logiciels malveillants contre les appareils mobiles - et
les téléphones Android en particulier - ont décollé en flèche cette
année. Les pirates se tournent de plus en plus vers les smartphones,
principalement via le vol de justificatifs d'identité, la surveillance
et la publicité malveillante.
Les chercheurs de Check Point ont examiné les cyberattaques du
premier semestre de 2019 et ont constaté que celles ciblant les
smartphones et autres appareils mobiles avaient augmenté de 50% par
rapport à l'année dernière. Les conclusions ont été résumées dans le
rapport Cyber Attack Trends: 2019 Mid-Year Report.
Suivez l'argent
Le rapport suggère que l’utilisation accrue des applications bancaires
mobiles est l’une des principales raisons de cette recrudescence. Les
cybercriminels ont suivi l'argent et diffusent de plus en plus de
logiciels malveillants sur mobile conçus pour voler des données de
paiement, des identifiants de connexion et des fonds provenant des
comptes bancaires des victimes.
"La forte augmentation des logiciels malveillants liés aux
services bancaires mobiles est en corrélation avec l'utilisation
croissante des applications bancaires mobiles", a déclaré à ZDNet Maya
Horowitz, directrice du renseignement et de la recherche sur les menaces
chez Check Point.
"La méthodologie utilisée pour distribuer les programmes
malveillants a également retenu les leçons du reste du secteur : les
constructeurs de logiciels malveillants proposent maintenant leurs
malware à l'achat dans des forums clandestins", a-t-elle ajouté.
Dans de nombreux cas, les attaques de logiciels malveillants
suivent des stratégies de diffusion similaires à celles ciblant les
utilisateurs d’ordinateurs de bureau : les applications s’exécutent
silencieusement en arrière-plan, sans que la victime n’en soit vraiment
consciente.
Certaines formes de malware Android ont même été développées avec des
techniques d'évasion avancées afin de rester non détectées sur les
appareils infectés.
Visages connus
Par exemple, le cheval de Troie bancaire Anubis ne
commence à fonctionner que lorsque les détecteurs de mouvement
détecteront que le périphérique a été déplacé - une stratégie qui permet
que le malware ne s’active dans des environnements de test de type
Sandbox.
Pendant ce temps, d'autres formes de malware ont développé une fonction pour désactiver la sécurité Google Protect d'Android pour aider à voler les données des clients des services bancaires.
Triada est le programme malveillant le plus répandu sur les téléphones
mobiles. En analysant les logiciels malveillants distribués dans le
monde entier cette année, il représente 30% des attaques connues.
Triada est considéré comme l’une des formes les plus avancées de logiciels malveillants
Android, accordant aux attaquants des privilèges de super-utilisateur
ce qui leur permet de prendre le contrôle de l’appareil. Le malware a
également été trouvé préinstallé sur plus de 20 000 smartphones bas de gamme.
Les deux autres menaces mobiles les plus courantes sont Lotoor, un outil de piratage qui exploite les vulnérabilités du système d’exploitation Android
afin d’obtenir les privilèges root sur les appareils mobiles compromis,
et Hiddad, un programme malveillant qui reconditionne des applications
légitimes pour la distribution dans des magasins tiers et pour bombarder
la victime avec des publicités.
Les chercheurs ont averti que, à mesure que les utilisateurs
utiliseraient de plus en plus leurs appareils mobiles, les attaquants
continueront de cibler de plus en plus les utilisateurs de smartphones.
Non seulement les appareils contiennent de grandes quantités de données,
mais les utilisateurs considèrent souvent la sécurité sur mobile comme
une considération secondaire, contrairement à leur ordinateur personnel
ou professionnel.
"Les utilisateurs doivent protéger leurs appareils avec une
solution globale qui bloque les logiciels malveillants et les attaques
de réseau, ainsi que les fuites de données et le vol des identifiants,
sans nuire à l'expérience de l'utilisateur", a déclaré Horowitz.
La
plus grave cyberattaque contre l’Organisation de l’aviation civile
internationale (OACI), agence de l’ONU basée à Montréal, aurait été
lancée à partir de l’ordinateur du fils du président de son conseil, a
dévoilé à CBC un lanceur d’alerte.
Cinq mois plus tard, le directeur de l’administration et des services de l’agence, Vincent Smith, sort publiquement et accuse la secrétaire générale de l’OACI
, Fang Liu, et le président du conseil de l’agence, Olumuyiwa Benard Aliu, de mauvaise conduite.
M. Smith a indiqué à CBC
qu’on l’avait prévenu qu’il s’apprêtait à faire un suicide
professionnel, mais il juge qu’il est de son devoir de dévoiler ces
informations.
Il y a de la fumée et rien n’est fait, a indiqué Vincent Smith en entrevue. Je me préoccupe pour l’agence. Je dois être conséquent avec ma conscience.
Fang Liu (gauche) et Olumuyiwa Benard Aliu (droite) lors d'un forum de l'OACI en novembre 2015
Photo : La Presse canadienne / Paul Chiasson
Dans différents rapports rédigés par M. Smith
en juin et juillet et destinés aux 36 pays membres de l’agence en plus
de son bureau d’éthique, le cadre détaille la façon dont la cyberattaque
s’est déroulée et de quelle manière les espions ont pu infiltrer le
réseau de l’OACI
.
CBC a obtenu une copie de ces rapports avec l’aide d’une source confidentielle.
Dans l’un de ces rapports, M. Smith raconte avoir reçu le 25 février dernier un courriel de la part du responsable de la sécurité des systèmes d'information de l’OACI
,
Si Nguyen Vo, dans lequel il est expliqué que l’ordinateur portable
d’un ancien agent en informatique, Maxim Aliu, a été infecté lors d’un
voyage au bureau régional de l’agence à Pékin en 2010.
Maxim Aliu est le fils du président du conseil de l’OACI
, Olumuyiwa Benard Aliu, qui était, en 2010, le représentant du Nigeria au conseil.
« Patient zéro »
Le courriel
envoyé par M. Vo fait référence à Maxim Aliu comme étant le « patient
zéro » et que son ordinateur portable a servi de porte d’entrée au
groupe Emissary Panda pour accéder au réseau informatique de l’OACI
.
Emissary Panda est un groupe très raffiné et discret de cyberespions ayant des liens avec le gouvernement chinois.
Un rapport de l’ONU a dévoilé que M. Aliu avait un statut d’administrateur de réseau entre avril 2012 et janvier 2015, explique Vincent Smith.
Les comptes des administrateurs de réseau et des
administrateurs de domaine auraient été compromis lors de la
cyberattaque, donnant accès aux espions aux adresses courriel et aux
mots de passe de l’OACI
.
M. Vo a également écrit à M. Smith
pour lui indiquer qu’une chronologie de l’attaque avait été réalisée et
que « plusieurs » autres brèches auraient été découvertes, dont une
concernant des fonds communs.
Le responsable de la sécurité des systèmes d’information a également dévoilé à M. Smith
qu’un dossier de sécurité aurait été effacé entre novembre 2018 et
janvier 2019, entraînant la perte de toute information sur les brèches
informatiques, y compris les procédures, les plans d’action et
l’historique des attaques.
Dans un échange de courriels avec CBC, l’OACI
réfute les allégations de Vincent Smith quant à l’origine de la cyberattaque.
Nous
pouvons confirmer [qu’un rapport] sur ce sujet en 2017 n’attribuait pas
la responsabilité de la brèche de sécurité à une personne en
particulier ou à un appareil, indique un porte-parole de l’OACI
, William Raillant-Clark.
Selon le porte-parole, l’OACI
a également invité l’ONU et des experts indépendants à mener une
enquête approfondie sur son plan d’action face à l’attaque informatique.
Environnement de travail « toxique et hostile »
Au-delà de la cyberattaque orchestrée par Emissary Panda, c’est l’environnement de travail à l’OACI
qui inquiète particulièrement Vincent Smith.
Dans ses rapports, le directeur Vincent Smith décrit l’OACI
sous la gouverne de Fang Liu comme un environnement toxique et hostile caractérisé par du favoritisme et du copinage.
Cela a
non seulement créé une culture d’impunité et innocenté des
contrevenants allégués, mais a favorisé un culte de la personnalité et
une loyauté indéfectible envers la secrétaire générale de la part de ces
personnes innocentées sans enquête, a écrit M. Smith tout en précisant que ces personnes sont des employés de sa direction.
Un lanceur d'alerte travaillant pour l'OACI dénonce un culte de la personnalité autour de la directrice générale de l'agence.
Photo : Reuters / Christinne Muschi
Rappelons que quatre membres de l’équipe des technologies de l’information et de la communication de l’OACI
avaient tenté de dissimuler des preuves de leur propre incompétence.
CBC/Radio-Canada avait dévoilé en février dernier que ces personnes étaient toujours employées de l’OACI
et qu’aucune enquête interne n’avait été menée à leur sujet.
Aucune
des personnes ayant supposément fait de l’obstruction lors de la
cyberattaque de 2016-2017 n’a fait l’objet d’une enquête et je suis
toujours leur superviseur, mais sans aucune autorité sur elles, se désole Vincent Smith.
M. Smith accuse
Mme Liu d’être allée à l’encontre des recommandations formulées par le
Bureau des services de contrôle interne de l’ONU, qui exigeait une
enquête sur les quatre employés des TIC.
Le directeur dénonce aussi comment cette même culture a fait de lui une cible de harcèlement, d’intimidation et de représailles par ces employés impliqués dans la dissimulation de preuves, en plus de leur patron. Selon M. Smith, en n’ayant pas à faire l’objet d’une enquête, ces employés se sont sentis encouragés à le mettre de côté.
J’étais maintenant perçu comme un ennemi déloyal et indigne de confiance, dénonce M. Smith
dans l’un de ses rapports. Le directeur juge que cette expérience a nui
à sa santé, et il est en congé de maladie depuis le 26 mars.
Plus stressant qu’être au front
Vincent Smith n’a pas voulu donner plus de détails à CBC
sur ses rapports écrits, indiquant que les documents parlent
d’eux-mêmes. Il a par contre donné plus de précisions sur
l’environnement de travail à l’OACI
.
M. Smith a
longtemps travaillé pour l’ONU, dont deux décennies dans des missions de
maintien de la paix dans des régions tumultueuses comme l’Afghanistan,
la Somalie, Haïti et le Liberia.
Vincent Smith lors de la mission de l'ONU en Somalie en 1993.
Photo : Gracieuseté
Aucun de ces déploiements ne l’a rendu aussi malade que le climat empoisonné à l’OACI
, a-t-il indiqué en entrevue avec CBC.
Dans
toutes mes missions avec l’ONU, j’ai tout le temps su que, même dans
les moments où j’étais en danger, la culture de l’ONU a toujours été
d’offrir le meilleur soutien à ses employés, de réaliser son mandat de
manière éthique et pour le plus grand bien de ceux que l’ONU sert, explique M. Smith dans un courriel à CBC.
Malheureusement, mon expérience
à l’OACI a été très différente et ne respecte pas les standards que
doit respecter une agence de l’ONU. Je trouve également très malheureux
que tout employé qui désire adhérer à ces standards soit d’abord ignoré
puis freiné et finalement attaqué.
Dans ces rapports écrits, Vincent Smith critique l’OACI
pour avoir tu des informations et pour avoir été insensible aux risques potentiels de la cyberattaque pour des Canadiens.
Il y fait référence à l’article de CBC
sur la cyberattaque, qui a révélé que les pirates informatiques ont eu
accès aux dossiers personnels d’employés anciens et actuels, aux
dossiers médicaux des personnes ayant été soignées à la clinique de l’OACI
, aux dossiers des transactions financières et aux données personnelles de tous les visiteurs des bureaux de l’OACI
et des personnes inscrites au site web de l’agence.
À l’époque, l’OACI
avait réfuté ces allégations.
Après ces révélations, le directeur des communications de l’agence, Anthony Philbin, avait publié un communiqué dans lequel il rassurait le public en indiquant que l’OACI ne gardait aucune information privée ou financière qui pourrait représenter un risque pour des Canadiens.
Dans ses rapports, Vincent Smith soutient plutôt que l’OACI
détient effectivement des dossiers sur ses employés qui incluent, entre
autres, des numéros d’assurance sociale, des numéros de passeport, des
comptes de finance.
En réponse à ces allégations de la part de M. Smith, le porte-parole de l’agence, William Raillant-Clark, soutient qu’aucun employé de l’OACI n’a rapporté de menace ou de dommage occasionné par une vulnérabilité informatique.
M. Smith exige une
enquête indépendante sur la conduite de Fang Liu, en plus de celle du
président du conseil Olumuyiwa Benard Aliu. Il veut également que ces
deux cadres se récusent pour une telle enquête.
Selon Vincent Smith,
le président du conseil, M. Aliu, est en conflit d’intérêts puisque
c’est l’ordinateur portable de son fils qui serait à l’origine de
l’attaque. M. Smith souligne également que l’OACI
a contrevenu à ses propres règles contre le népotisme en employant le père et le fils.
Dans son courriel à CBC, M. Raillant-Clark affirme que
l’agence a reçu plusieurs allégations relativement à l’incident de 2016
et qu’elle a lancé un processus pour les examiner. Il serait donc
inapproprié de les commenter publiquement.
Vincent Smith a
également exigé la protection contre les lanceurs d’alerte en vertu d’un
nouveau règlement interne adopté en juin dernier, cinq mois après la
publication de l’article de CBC sur la cyberattaque.
