Bloquer les adresses IP indésirables avec PeerBlock pour Windows

PeerBlock est un logiciel libre permettant de bloquer simplement des adresses IP indésirables issues de logiciels espions et publicitaires. Idéal pour protéger votre connexion à Internet contre les intrusions.

A l'instar de son prédécesseur PeerGuardian, le logiciel PeerBlock permet de protéger une connexion à Internet contre les intrusions malveillantes issues de logiciels de P2P, de logiciels espion ou encore de publicités.

Pour se faire, vous disposerez dès le début de plusieurs listes noires d'adresses IP néfastes afin de bloquer les communications entrantes et sortantes selon les adresses IP. Ces listes sont régulièrement mises à jour automatiquement. Pour chaque entrée, vous pourrez visualiser l'adresse source, celle de destination ainsi que le protocole utilisé.

De plus, vous aurez la possibilité de saisir vos propres adresses IP afin de bloquer les communications avec les logiciels espions, les publicités et autres sites web indésirables. De nombreux paramètres sont disponibles afin de protéger votre système selon vos besoins.

En somme, même si PeerBlock ne dispose pas de l'interface la plus attrayante de l'année, il n'en est pas moins simple à prendre en main

Source.:

Vous faites-vous espionner ?

Malheureusement, les informations que nous amassons peuvent toujours se retrouver dans les mains d'autrui. Du conjoint jaloux bidouilleur aux organisations contre les libertés de la presse et les droits de l'homme, les motivations pour infiltrer un téléphone ou un ordinateur ne manquent pas.
Fort heureusement, les mesures pour se défendre abondent également, en voici quelques pistes.
Il arrive, dans certaines situations, que les personnes les plus proches se mutent en opposants. Et le problème devient encore plus sensible si on a devant et contre soi des gouvernements ou des organisations secrètes qui n'apprécient pas le travail que vous faites.
D'autant plus, avec les moyens d'infiltration électronique actuels, il n'est plus nécessaire de s'en prendre physiquement aux personnes, il suffit plutôt de s'infiltrer dans leurs communications et fichiers d'ordinateur.

Téléphone intelligent

Dans le cas des téléphones intelligents, il y a un bon côté, il faut absolument avoir un accès physique à votre appareil pour le corrompre avec un programme malveillant et connaître le code de déverrouillage de l'écran d'accueil.
Après avoir complété cette étape, votre espion devra modifier le code source du système du téléphone pour y installer le programme malveillant.
À cette fin, il devra, dans le cas d'un iPhone, débrider («jailbreak») l'appareil pour installer l'application Cydia, laquelle permet de charger des programmes ne provenant pas de l'App Store d'Apple. À partir de là, vos communications et vos messages texte sont interceptés et retransmis au pirate.
Tout ce qui est domotique , en wifi et en bluetooh comme les speakers peut être piratable!

Comment savoir?

Si votre téléphone intelligent effectue des redémarrages inopinés, envoie des messages texte à des destinataires inconnus ou que la batterie s'épuise rapidement sans raison: votre appareil ne vous appartient plus tout à fait.
Il est probablement infecté par l'application Cydia.
Comment retrouver l'intégralité de son appareil?
Là aussi, la solution est encore plus simple.
Après une synchronisation avec son ordinateur pour conserver ses photos et ses contacts, il suffit de réinitialiser complètement l'appareil aux paramètres d'origine. Cette opération efface tout le contenu qui n’est pas d'origine.
Vous devez en tout temps protéger l'accès à votre téléphone intelligent par un code, changez ce code régulièrement et, bien entendu, ne le donnez à personne, pas même à votre conjoint.

Mon ordinateur

Pour vous donner une idée de la facilité avec laquelle peut être piraté un ordinateur, vous n'avez qu'à taper ces quatre mots dans un moteur de recherche: «comment espionner sa femme».
Contrairement aux téléphones intelligents, les plus astucieux savent infiltrer et installer un programme malveillant à distance, sans avoir un accès physique à votre système.
Pour découvrir les habitudes de son conjoint infidèle ou pour dérober des secrets industriels, la recette demeure essentiellement la même.
Attention à l'abus de langage: un logiciel de suivi installé par une entreprise dans les ordinateurs de ses employés n'est pas un logiciel espion. Il s’agit de logiciel parfaitement légal et inscrit dans la convention employé-employeur.
Plus agaçants, les logiciels publicitaires qui s'installent dans votre navigateur Internet servent à connaître vos habitudes d'achat et à faire apparaître des pubs.
Enfin, les logiciels malveillants ou espions sont tellement nombreux qu'il devient difficile de les énumérer en raison des versions et de leur rapide évolution.

Comment savoir?

Un logiciel pirate ou espion possède une mission spécifique en fonction du but et des informations recherchées par le pirate. On n'espionne pas son conjoint ou un «ami» avec le même programme utilisé par une organisation secrète.
Les journalistes d'enquête en zone de conflit, par exemple, font appel au logiciel Detekt, élaboré par Claudio Guarnieri, un informaticien allemand spécialisé dans les questions de sécurité en collaboration avec diverses organisations et fondations dédiées à la vie privée.
En effectuant une analyse en profondeur de l'ordinateur, Detekt permet d'avertir le propriétaire de la présence d'un logiciel espion. Il demeure que le résultat n'est pas garanti à 100 %. L'aide d'un spécialiste peut être nécessaire. Detekt est offert sur Windows.
Plus près de vous, quand des informations confidentielles se retrouvent dans la sphère publique, la première chose à suspecter est votre ordinateur. Un conjoint méfiant, par exemple, peut avoir inséré un programme malveillant qui vise à enregistrer vos courriels et messages en enregistrant tout ce que vous tapez, comme vos mots de passe.
Si c'est le cas, la première chose à faire consiste à ouvrir de nouveaux comptes de messagerie sur un système sécurisé ou un nouvel ordi. Inutile d'ouvrir ces derniers sur l'ordinateur infecté, le résultat sera le même.
Vous pouvez aussi ouvrir des comptes de messagerie Web avec des noms de courriel et des renseignements qui ne vous ressemblent pas.
Activez le pare-feu intégré du système d'exploitation. Celui du routeur devrait également être activé.
Installez un logiciel antivirus doté des dernières mises à jour et faites examiner votre système en mode hors ligne, sans connexion à Internet.
Toutefois, les méthodes de suppression de logiciels espions ne sont pas infaillibles. Ces logiciels peuvent détecter les tentatives de débusquement et prendre des mesures de contournement.
À ce moment-là, la meilleure chose à faire se résume à consulter un spécialiste.

Source.:

Spyware: Détectez et supprimez les logiciels espions présents sur votre ordinateur

Detekt pour Windows

Simple et efficace, vous assurera de la sûreté de votre ordinateur en détectant tout spyware qui pourrait s'y trouver.

Detekt est un logiciel de détection de spyware développé par Claudio Guarnieri et publié en partenariat avec Amnesty International , Digitale Gesellschaft , Electronic Frontier Foundation et Privacy International. Il s'agit en effet un logiciel militant développé à destination des défenseurs des droits de l'homme, des journalistes, des ONG, des opposants politiques, des minorités religieuses et ethniques.

Concrètement il s'agit d'un logiciel portable, un simple exécutable donc, qui va scanner le système de l'utilisateur à la recherche de logiciels espions ; logiciels capables de lire les emails, d'écouter les conversations en audio ou visioconférence voire d'allumer à distance webcam et microphone sans que son propriétaire le sache.

Remarque : de par sa nature, il se pourrait que Windows empêche le démarrage de Detekt. Vous pouvez outrepasser cet avertissement sans hésitation. En outre, pensez


Notez que le logiciel ne fonctionne pas pour l'instant pour Windows 8.1 et Windows 8 en 64 bits.   Source.:

Les attaques MiTM 'man-in-the-middle' ,Microsoft ni fait presque rien ?

Dans une actualité sur son blog, Microsoft dit vouloir combattre les adwares MiTM.
Les attaques MiTM 'man-in-the-middle', sont des attaques anciennes qui consistent à positionner un composant, généralement entre l'ordinateur et la connexion afin de fausser les résultats en effectuant des redirections vers un serveur contrôlé par l'attaquant.
Le but, en général, de ces attaques est de pouvoir voler des informations comme des mots de passe.
Les Trojans types Banker utilise ces attaques "MiTM" mais au niveau du navigateur WEB en plaçant un proxy-WEB pour récupérer les informations de connexions au site bancaire.

Certains familles d'adwares et on pense à Komodia/v-bates sont très friands de ces techniques afin de pouvoir effectuer des redirections de régie publicitaire afin d'injecter des publicités.

Généralement, cela se traduit :

• Une modification des serveurs DNS de l'ordinateur, Komodia, n'est pas le seul, par exemple, DNS-Unlocker utilise cette approche.
• L'installation d'un certificat afin de pouvoir injecter des publicités sur sites HTTPs
• Spéciquement la variante v-bates "patch dnsapi.dll" qui change le fichier HOSTS afin de pouvoir opérer des redirections.
• L'installation d'une DLL dans couche Winsock afin de manipuler les résultats réseaux. Les variantes abengine/acengine utilisent ces techniques.

Pour les deux dernier cas, se reporter la page : Pilotes "bsdriver.sys" & "cherimoya.sys" : abengine, vous y verrez l'installation du certificat et l'utilisation de DLL dans la chaîne Winsock.
Effectivement, cela pose des problèmes puisque ces adwares peuvent s'ils le désirent voler n'importe quelles informations.



On peut donc se réjouir de cet avancé de Microsoft, qui reste timide sur les détections adwares.
Seule, une détection sur l'installeur Amonetize qui va par des sites de cracks/keygen et qui installe d'ailleurs les variantes Komodia (actuellement Shopperz).

J'en avais parlé sur la page : PUPs/Adwares : guerre des moteurs de recherche où Microsoft, distribue via Bing, les plate-formes de PUPs DownloadAdmin / DomaIQ et InstallCore.
Probablement car ces derniers forcent le moteur de recherche Bing, ce qui permet à Microsoft d'augmenter le traffic de son moteur de recherche.
Yahoo! fait de même.
Personellement, j'y vois donc, une hypocrisie, Microsoft dit combattre les adwares mais autorisent ceux qui poussent Bing.



Si ces détections font perdre trop de "clients" à la famille Komodia, il ne restera plus qu'à tenter de se diffuser via une plate-forme qui pousse Bing et en utilisant des techniques moins "sauvages".
Probablement que Microsoft ne dira rien et le proposera même sur son moteur de recherche Bing, en résultats commercials, comme c'est le cas des autres plate-formes PUPs.

Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas

Source.:

Microsoft dit combattre les adwares mais autorisent ceux qui poussent Bing

Dans une actualité sur son blog, Microsoft dit vouloir combattre les adwares MiTM.
Les attaques MiTM 'man-in-the-middle', sont des attaques anciennes qui consistent à positionner un composant, généralement entre l'ordinateur et la connexion afin de fausser les résultats en effectuant des redirections vers un serveur contrôlé par l'attaquant.
Le but, en général, de ces attaques est de pouvoir voler des informations comme des mots de passe.
Les Trojans types Banker utilise ces attaques "MiTM" mais au niveau du navigateur WEB en plaçant un proxy-WEB pour récupérer les informations de connexions au site bancaire.

Certains familles d'adwares et on pense à Komodia/v-bates sont très friands de ces techniques afin de pouvoir effectuer des redirections de régie publicitaire afin d'injecter des publicités.

Généralement, cela se traduit :

• Une modification des serveurs DNS de l'ordinateur, Komodia, n'est pas le seul, par exemple, DNS-Unlocker utilise cette approche.
• L'installation d'un certificat afin de pouvoir injecter des publicités sur sites HTTPs
• Spéciquement la variante v-bates "patch dnsapi.dll" qui change le fichier HOSTS afin de pouvoir opérer des redirections.
• L'installation d'une DLL dans couche Winsock afin de manipuler les résultats réseaux. Les variantes abengine/acengine utilisent ces techniques.

Pour les deux dernier cas, se reporter la page : Pilotes "bsdriver.sys" & "cherimoya.sys" : abengine, vous y verrez l'installation du certificat et l'utilisation de DLL dans la chaîne Winsock.
Effectivement, cela pose des problèmes puisque ces adwares peuvent s'ils le désirent voler n'importe quelles informations.



On peut donc se réjouir de cet avancé de Microsoft, qui reste timide sur les détections adwares.
Seule, une détection sur l'installeur Amonetize qui va par des sites de cracks/keygen et qui installe d'ailleurs les variantes Komodia (actuellement Shopperz).

J'en avais parlé sur la page : PUPs/Adwares : guerre des moteurs de recherche où Microsoft, distribue via Bing, les plate-formes de PUPs DownloadAdmin / DomaIQ et InstallCore.
Probablement car ces derniers forcent le moteur de recherche Bing, ce qui permet à Microsoft d'augmenter le traffic de son moteur de recherche.
Yahoo! fait de même.
Personellement, j'y vois donc, une hypocrisie, Microsoft dit combattre les adwares mais autorisent ceux qui poussent Bing.



Si ces détections font perdre trop de "clients" à la famille Komodia, il ne restera plus qu'à tenter de se diffuser via une plate-forme qui pousse Bing et en utilisant des techniques moins "sauvages".
Probablement que Microsoft ne dira rien et le proposera même sur son moteur de recherche Bing, en résultats commercials, comme c'est le cas des autres plate-formes PUPs.

Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas

Source.:

Malware Virale: Rombertik, un virus qui "détruit" le PC lorsqu'il est détecté

Sécurité : Repéré par Cisco, ce logiciel malveillant devient particulièrement agressif lorsqu'il est chatouillé...

La menace a de quoi faire froid dans le dos. Les équipes de chercheurs de Talos (Cisco) viennent de repérer un nouveau type de malware capable de mettre à genoux un PC et les données qu'il contient. Rien de neuf, me direz-vous...
Mais Rombertik, c'est son petit nom, a été pensé pour contourner les protections mises en place, qu'elles soient système ou liées à un anti-virus. Pire, il devient particulièrement agressif lorsqu'il est chatouillé ou en phase d'être repéré.
Comme d'habitude, Rombertik se loge dans votre PC via un mail (spam ou phishing) contenant un lien piégé, souvent un faux PDF. Une fois exécuté, le malware fait le tour du propriétaire et s'assure de ne pas être enfermé dans une sandbox. Après s'être déployé, il est ensuite capable de s'insérer dans le navigateur utilisé pour collecter des données personnelles, même sur un site en https, et les expédier vers un serveur distant. Classique.

Dans le même temps, et c'est à ce moment qu'il est le plus dangereux, le malware vérifie qu’il n’est pas en cours d’analyse mémoire. Si c’est le cas, il va alors tenter de détruire le Master Boot Record (MBR), endommageant gravement le PC. Ce composant est essentiel pour démarrer une machine Windows.
S'il ne parvient pas à ses fins, il s'attaquera alors aux fichiers présents dans le dossier utilisateurs, fichiers qui seront alors cryptés avec une clé RC4 aléatoire. La machine est alors rebootée mais entre dans une boucle infinie. Bref, les dégâts sont majeurs. Et une analyse anti-virus aura les mêmes effets. la réinstallation du système est alors le seul moyen d'accéder à sa machine.
"Ce qui est intéressant avec ce malware, c’est qu’il n’a pas une fonction malveillante, mais plusieurs", souligne les experts de Talos. "Le résultat est un cauchemar", ajoutent-ils.
Comment alors se protéger ? "Etant donné que Rombertik est très sensible à la traditionnelle sandboxing réactive, il est crucial d'utiliser des systèmes de défense modernes - prédictifs. Des systèmes qui n’attendent pas qu’un utilisateur clique pour déclencher un téléchargement potentiel de Rombertik.", explique  Charles Rami, responsable technique Proofpoint..
"De plus, comme le malware peut être expédié via de multiples vecteurs - comme Dyre, via des URL ou des fichiers .doc ou .zip/exe etc. - il est crucial d'utiliser des systèmes qui examinent l'ensemble chaîne destructrice, et bloquent l'accès des utilisateurs aux URL et pièces jointes envoyées par emails avant ceux-ci ne cliquent dessus. Enfin, les aspects « autodestruction » de Rombertik état susceptibles d’être déclenchés par les technologies telles que les antivirus, il est crucial que les entreprises utilisent des systèmes automatisés de réponse aux menaces - des systèmes qui peuvent localiser et bloquer l'exfiltration de données par Rombertik - sans - déclencher d'action sur le PC, et alerter les équipes de sécurité pour répondre rapidement aux dommages pouvant être causés", poursuit-il.


Source.:

Publicités malicieuses : « Malvertising »

Les publicités maliceuses ou Malvertising sont des menaces qui existent depuis plusieurs années.
Ce dossier vous explique que sont ces menaces à travers quelques exemples de campagnes et comment les éviter.

Que sont les publicités malicieuses « Malvertising » ?

Lorsque des cybercriminels souhaitent lancer des campagnes pour infecter des internautes qui visent des pays en particuliers, ces derniers ont besoin de source de traffic afin de rediriger un maximum d’internautes vers le contenu malicieux.
Par le passé, cela se faisait par le piratage de site WEB, les cybercriminels pirataient un maximum de sites WEB, les internautes qui allaient sur ces sites piratés pouvaient potentiellements être infectés.
Exemple avec des campagnes de SQL Injection : LizaMoon Massive SQL injection attack : rogues/Scarewares
ou encore des malwares créés exprès pour pirater des sites WEB comme Tepfer :PSW.Win32.Tepfer – vol FTP et injection/hack de sites
Depuis des malwares plus sophistiqués ont vu le jour comme Linux/CDorked  (exemple avec le site WEB generation-nt.com et darkleech).
Depuis les cybercriminels ont trouvé plus profitable de s’attaquer aux régies publicitaires en tentant de faire charger des publicités malicieuses qui ont pour but de rediriger les internautes vers du contenu malicieux. Cela permet de toucher plus facilement des gros sites dont le traffic est élevé.
Il existe deux types de malvertising :

• des malvertising « redirector » qui ont pour but de rediriger l’internaute vers un web exploit kit afin de charger un malware sur l’ordinateur. La redirection est automatique aucun clic n’est nécessaire.
• Des publicités trompeuses où le but est plutôt de faire ouvrir un executable malicieux, le but est de tromper donc l’internaute pour lui faire ouvrir le contenu désiré. Exemple : une fause mises à jour Java où l’internaute croit lancer une mise à jour Java alors que le contenu est tout autre. Ces publicités tirent partie de la méconnaissance technique des internautes.

En plus de permettre de toucher beaucoup d’internautes, les malvertising sont plus difficile à détecter que des piratages. Un piratage modifiant le contenu d’un site WEB, il est relativement facile de détecter des modifications anormales d’un certaines nombre de sites WEB avec un contenu assez identique.
Une malvertising peut cibler un pays en particulier, ne tourner pendant que quelques heures. En outre, on peut aussi ajouter des filtres au niveau de la publicité ou du redirecteur afin de ne rediriger qu’à partir de certaines conditions, ceci permet de filtrer les robots, antivirus et autres.
Pour rappel un exploikit est un programme qui permet de tirer partie de vulnérabilités présentes sur des logiciels installés sur l’ordinateur afin d’exécuter un fichier automatiquement par la simple visite d’un site WEB.
En général, ce sont des plugins du navigateur WEB qui sont visés.
Le schéma suivant décrit une campagne de malvertising :

Click this bar to view the full image.

Exemple de malvertising Clicksor en vidéo :
https://www.youtube.com/watch?v=h95ZaQ1du5s
https://www.youtube.com/watch?v=PRvrrL6dTfo

Quelques campagnes de malvertising

2011 – 2013/2014 : Exploit WebKit

De fin 2011 à 2014, la France a été touchée par des campagnes de malvertising visant à pouser des ransomwares fake Police.
Vous trouverez un exemple de campagne sur la page : « TDS » ( Traffic Direction Systems ) du « Virus Gendarmerie »
Dans la même période, la régie publicitaire Clicksor envoyait aussi beaucoup de malvertising : http://www.malekal.com/?s=clicksor
En plus des Ransomware Fake Police, on trouve différent malwares comme ZeroAccess ou Zbot.
Une de ces campagnes a été active sur Piratebay : Piratebay touché par la malvertising clicksor et le virus gendarmerie
2011 à 2014 fut l’âge d’or pour ces campagnes pour plusieurs raisons :

• Un exploitKit très performant du nom de BlackHole a vu le jour. Les antivirus était relativement dépassés.
• Adobe PDF puis Adoble Flash et enfin Java furent visés au niveau des vulnérabilités. Adobe a pris des mesures puis au tour d’Oracle afin de renforcer la sécurité de ses programmes. Voir par exemple les billets :
  • Java Exploit en augmentation
  • Exploit Java toujours aussi efficace
• Les navigateurs WEB ont ensuite, à leur tour, renforcer la sécurité en désactivant les plugins non à jour et en intégrant des blacklists d’URLs, par exemple avec Google SafeBrowsing pour Firefox et Google Chrome.

Pour ces campagnes de malvertising, la thématique des sites visités sont surtout des sites de streaming (téléchargement illégal de film) et sites pour adultes.

> 2013 : Browlock Ransomware

Les mesures prises pour renforcer la sécurité ayant eu quelques effets, l’arrestation du développeur de l’Exploit Kit BlackHole aussi.
Un nouveau type de menaces à vu le jour : Browlock Ransomware.
Ce ransomware est une simple page WEB qui bloque le navigateur WEB à l’aide de JavaScript.
Aucun malware n’est chargé sur l’ordinateur.
Ce système offre un double avantage :

• Pas de malware, moins de chance que les antivirus détectent un élément malicieux, bien qu’ils peuvent détecter la page HTML.
• Etant une page WEB, on peut viser tous les systèmes d’exploitation et toucher un maximum d’internautes. La page fonctionnera sur Linux ou Mac, contrairement aux web exploitkits qui ne fonctionnent eux que pour Windows.

Exemple de page Browlock Ransomware :

Click this bar to view the full image.

Campagne de malvertising Browlock : http://www.malekal.com/2013/10/07/en-browlock-ransomware-malvertising-campaign/

2013 : Explosion des adwares et PUP via fausses mises à jour Flash et Java

Depuis Juillet 2014, une explosion des adwares et pogrammes parasites (PUPs).
Le phénomène a commencé en 2010 avec de faux bandeaux VLC et lecteurs vidéos sur les sites de streaming et a pris de l’ampleur avec de fausses mises à jour Flash et Java.
Ces fausses mises à jour ont été actives sur beaucoup de sites différents : sites de streaming pour adultes, scans manga, Torrent mais aussi des sites grands publics comme Deviant Art et Ebay ont aussi  été touchés.
ou encore Dailymotion : [en] Yahoo Ads for Fake Java Update (PUP.DomaIq)
et même ici sur malekal.com via Appnexus ou Google Adense =)
Une page concernant les fausses pages Java et Flash de Décembre 2013 : Nation Zoom et fausses mises à jour Java (PUP.DomaIQ).
Le programme d’affiliation à l’origine de la majeur partie de ces campagnes est Adware.Win32.DomaIQ / SoftPulse
Voici quelques exemples de ces fausses pages Flash. Certaines reprennent le vrai logo Flash/Java et mentionnent Adobe/Oracle.
Ces publicités exploitent la méconnaissance technique de l’utilisateur qui croit avoir à faire à une vraie demande de mise à jour provenant de programmes connus.

Click this bar to view the full image.

Click this bar to view the full image.

Click this bar to view the full image.

2014 : Fausses Alertes Virus sur Mobile

2014 a vu aussi de nouvelles publicités visant les mobiles. Le but est d’afficher de fausses alertes de virus pour vous faire installer des logiciels de nettoyage.
Quelques exemples de ces campagnes sur les pages suivantes :
[fr] Fausses alertes virus Android : Publicités pourries sur tablettes/mobile Android
Mobile Malvertising : Fake Virus Alert

Click this bar to view the full image.

Click this bar to view the full image.

2015 : Mode Shadow et USA ciblé

En France, les malvertising fake Java/Flash et Browlock/Fake Police ont beaucoup diminué.
Les malvertising Browlock et Fake Police ont diminué en France mais reste très actives aux USA.
Pourquoi les USA ? Pour deux raisons.
La première est qu’Internet Explorer est beaucoup plus utilisé et ce derneir est beaucoup plus sensibles aux Web Exploit.
Dans le cas d’une campagne de malvertising Fake Polie, si vous utilisez IE vous serez redirigé vers Angler EK alors qu’avec Chrome, ce sera Browlock.
Aux USA, Internet Explorer est encore devant :

Click this bar to view the full image.

Alors qu’en France :

Click this bar to view the full image.

L’autre raison est « le mode Shadow », si vous n’habitez pas les Etats-Unis, vous êtes alors obligé de passer par des VPN pour les trouver et les faire retirer.
Or , les frameworks des malvertising sont améliorés continuellement, de plus en plus de filtres ont été ajoutés.
Le filtres de VPN commencent à devenir un standard, certains framework ne fonctionne qu’avec des plages d’IPs résidentiels.
D’autres utilisent probablement du Browser Finger ou systèmes de cache.
et les USA prennent chers, quelques exemples de ces campagnes :

• CryptoWall via first-impress.com (Engage:BDR), cette a fait tourner des malvertising pendant plusieurs mois redirigeant vers Hanjuan EK. Des sites comme DailyMotion ont été touchés :
  • http://malware.dontneedcoffee.com/2015/02/cve-2015-0313-flash-up-to-1600296-and.html
  • http://blog.trendmicro.com/trendlabs-security-intelligence/flashpack-exploit-kit-used-in-free-ads-leads-to-malware-delivery-mechanism/
  • https://blog.malwarebytes.org/exploits-2/2015/03/hanjuan-eks-march-madness-malvertising-campaign/

On comprend pourquoi Cryptowall a dépassé les 600 000 PC infectés en quelques mois.
Les Fake Police ont continue à taper fort.
Le site pour adulte Xhamster (qui se trouve dans le top 100) a été très touché par :

• des malvertising Kovter qui ont tourné pendant environ 1 an.
• Piratage et quelques campagnes Angler EK poussant du Urausy ou Reveton.

De même pour PornerBros qui est régulièrment touché (et la régie de publicité Adxpansion).
Et d’autres régies publicitaires sur les sites adultes.
Yahoo ausi : http://www.ibtimes.co.uk/huffington-post-yahoo-news-aol-tmz-hit-by-malware-ads-over-1-5bn-visitors-risk-1482651
Google DoubleClick aussi : https://blog.malwarebytes.org/malvertising-2/2014/09/googles-doubleclick-ad-network-abused-once-again-in-malvertising-attacks/
AOL Advertising : http://www.scmagazine.com/ransomware-is-being-distributed-on-huffpo-site/article/391235/
Vous ajoutez à cela des malvertising visant le mobile, toujours sur les sites adultes pour pousser du Locker Android : Index of Android Locker

Et vous pensez que c’est terminé ? et bien non, depuis quelques mois, des arnaques téléphoniques ont vu le jour : Arnaques désinfection/support par téléphone
Le principe est un peu le même que le ransomware Browlock, de fausses pages faisant croire que votre PC est infecté et demandant à téléphoner à un support téléphonique.
Ces publicités bloquent le navigateur WEB.
Vous trouverez quelques exemples sur la page : Tech Support Scam Support Malvertising

Click this bar to view the full image.

Click this bar to view the full image.

Quelques commentaires côté technique

Voici quelques exemples de redirections de malvertising du point de vue technique.
Je ne mettrai pas d’exemples de Fiddler Logs, vous en trouverez sur http://malvertising.stopmalwares.com/
Côté structure des serveurs de malvertising, on trouve un peu de tout, cela va de faux serveurs Openx à des framework spécifiques.
Afin d’empécher le blacklistage du faux serveurs de publicité, les cybercriminels multiplient les redirections.
Kovter est un bon exemple. La structure est :

• Régie publicitaire légitime
• Server Malvertising Kovter (en HTTPs), un service HTTPs comme worldssl.net peut être utilisé entre la régie légitime et le serveur Malvertising Kovter. CE dernier peut changer tous les un ou deux jours.
• Un ou deux redirecteur avec un domaine en .pl qui changent toutes les heures.
• ExploitKits.

Déjà, le serveur Kovter est en HTTPs, les client antivirus qui ne sont pas capables d’analyser le flux HTTPs peuvent être à la rue.
Par exemple la version 9 d’Avast! n’était pas capable de blacklister une URL en HTTPs.
Entre le serveur de Malvertising Kovter et l’ExploitKit, on peut donc avoir deux domaines .pl
Les antivirus peuvent voir beaucoup de hits sur l’ExploitKit si cela touche de gros réseaux publicitaires, mais s’ils ne sont capables de remonter qu’au referer d’avant, ils ne verront qu’un domain .pl, de ce fait, ils ne seront pas capables de remonter au serveur de publicité Kovter pour la blacklister.
Donc le serveur de publicité malicieux Kovter peut rester à 0 détecter et la régie publicitaire ne rien voir.
Les Applets Flashs sont aussi très utilisées, vous trouverez quelques exemples sur les pages :

• [TECH] Animations flash malveillantes (malvertising)
• [en] qweentits.org Malvertising and malicious SWF
• redir.ballysbs.com malvertising (fake 888poker.fr)
• [en] W32/Boaxxe by SWF Redirector

De même, ils sont devenus de plus en plus sophistiqués, à la base la redirection vers le TDS se faisait dans l’Action Script, puis l’URL du TDS a été offusqués dans du contenu binaire déoffusqué à partir de l’AcionScript qui créé l’iframe.
L’avantage des bannières flashs, c’est qu’il est relativement facile d’obtenir une bulle sur VirusTotal. De ce fait, on propose a bannière sur des sites ou régie qui vont scanner sur VirusTotal, aucune détection donc non malicieuse.
Dernièrement, les bannières proposées embarquent directement l’exploit kit qui va charger le binaire (Flash EK ou Nutrino EK).
Ces dernières sont proposées aux régies de publicités avec une détection de 0 sur Virustotal.
Kapersky a publié un article concernant ces Exploit.SWF : http://securelist.com/analysis/publications/69727/how-exploit-packs-are-concealed-in-a-flash-object/
Autre exemple avec les hacks.
Ci-dessous des tags Openx/Revive modifiés où un code avec une adresse  quotes.js, cette dernière rdirige vers un ExploitKit.
On peut constater aussi que le tag recréé une page  lim.php contenant une Backdoor PHP simple.

Click this bar to view the full image.

Comment éviter les malvertising ?

Dans un premier temps, il convient de ne pas être vulnérable aux ExploitKit en tenant vos programmes à jour.
Ensuite vous pouvez installer Adblock ou encore mieux Blockulicious, une extension qui bloque les publicités et adresses malicieuses.
Tout ceci est expliqué sur la page : Comment Sécuriser son ordinateur ?
Pour les programmes parasites/adwares, reportez-vous au dossier suivant. Surtout activez bien les détections PUPs sur votre antivirus.
A lire – Programmes parasites / PUPs : http://www.malekal.com/2011/07/27/detection-puplpi-potentially-unwanted-program/

Souirce.:

L'anatomie d'une attaque: Les attaques de masse ont laissé place à des attaques ciblées

Plongée au coeur d’une cyberattaque

Cette tribune aborde l’anatomie d’une attaque utilisant la méthode de « spear phishing » pour pénétrer le Système d’Information d’une entreprise. Même si ce cas est de pure fiction, beaucoup d’attaques sont ou ont été très similaires dans le mode opératoire.

Le contexte des menaces informatiques a beaucoup évolué ces dernières années et les attaques de masse ont laissé place à des attaques ciblées, dont le mode opératoire est beaucoup plus complexe. Retour sur l’anatomie d’une attaque.

Nous vous proposons, dans cet article, d’aborder sous forme d’un exemple, l’anatomie d’une attaque utilisant la méthode de « spear phishing » pour pénétrer le Système d’Information d’une entreprise. Même si ce cas est de pure fiction, beaucoup d’attaques sont ou ont été très similaires dans le mode opératoire et la stratégie des cyberattaquants est souvent payante.

La cible

Créons, pour notre scénario, une société commerciale, World Company, leader sur son marché, qui vend des solutions à d’autres entreprises dans un secteur très spécifique et sur un marché international très concurrentiel. La valeur de cette entreprise est son savoir- faire, mais surtout sa base client. C’est ce que les cyberattaquants vont chercher à atteindre, mandatés par une société concurrente d’un pays émergent. Le mode opératoire de l’attaque et les codes malicieux pour pénétrer le Système d’Information vont donc être développés spécifiquement pour cette cible.

Première phase : connaître la cible pour mieux l’atteindre

Le premier travail des cyberattaquants va être d’étudier la cible: l’activité de l’entreprise, ses positions géographiques, son organisation… et finalement ses employés afin de sélectionner les « candidats » propices, c’est-à-dire ceux pouvant accéder aux données convoitées. Les techniques de social engineering permettent d’obtenir un grand nombre d’informations sur les employés ciblés: rôle dans l’entreprise, relations professionnelles, centres d’intérêt, carrière…

C’est ainsi que John Doe est sélectionné pour être le point d’entrée des premières phases de l’attaque. Ingénieur commercial, il a donc accès à la base client ainsi qu’aux données regroupant tout ce qui a été vendu aux clients de son entreprise avec les tarifs, les marges, les taux de remise… John Doe fait régulièrement du golf avec d’anciens collègues. Il est dans la société depuis quelques années et aimerait la quitter en espérant donner un coup de pouce à sa carrière. Les cyberattaquants vont alors envoyer un mail à Doe en usurpant l’identité d’un de ses partenaires de golf. Cet e-mail propose à Doe de se connecter sur le site d’un cabinet de recrutement pour réaliser un test d’aptitude.

John connaît l’expéditeur du mail et donc ne se méfie pas, et clique alors sur le lien. Le site, construit pour les besoins de l’attaque, lui propose de télécharger une petite application pour réaliser ce test. Notre ingénieur exécute le fichier qui lui retourne un message d’erreur indiquant qu’il ne peut pas fonctionner sur son poste de travail. Pour lui, cela ne va pas plus loin. Il ne voit malheureusement pas ce qu’il se passe sur son poste de travail, et ne se rend pas compte qu’il vient d’ouvrir malgré lui une brèche dans le Système d’Information de son entreprise. Doe ne va pas non plus faire appel au support informatique de sa société pour signaler qu’une application qu’il n’aurait pas dû utiliser au travail n’a pas fonctionné !

Deuxième phase : prise de contrôle et infiltration

Vous l’aurez deviné, l’application téléchargée et exécutée est un malware qui va agir silencieusement sur le poste de travail; on parle alors d’attaques furtives. Ce code forgé spécifiquement pour l’attaque est unique, il ne sera donc pas détecté par les outils de sécurité dont la reconnaissance est basée sur des signatures (antivirus par exemple).

Ce malware va dans un premier temps ouvrir un canal de communication chiffré pour joindre le serveur C&C (command and control) des attaquants. Cela va leur permettre de prendre la main sur le poste de travail et de télécharger d’autres codes utilisant des vulnérabilités 0-day, pour usurper ou utiliser les droits de Doe et pour se propager dans le Système d’Information à la recherche des données convoitées.

Le ou les malwares pourront éventuellement se répandre sur d’autres postes de travail pour faciliter la recherche et scanner les différents lecteurs réseau qui hébergent les données de l’entreprise. Cette phase peut prendre plusieurs mois, le temps d’atteindre le but recherché, de manière silencieuse en restant sous les radars des systèmes de sécurité traditionnels (low and slow).

Dernière phase : exfiltration

Une fois le ou les fichiers identifiés, ils vont alors être uploadés vers les serveurs des cybercriminels. Étant donné que nous parlons de fichiers de quelques mégaoctets, ce flux chiffré va encore une fois passer inaperçu. L’histoire se termine dans la majorité des cas par l’effacement de toutes les traces et l’autodestruction des codes malveillants utilisés. L’entreprise victime ne se rendra sûrement pas compte qu’elle a subi un vol de données.

Film catastrophe ?

Face à un tel scénario, finalement très simple dans le mode opératoire (mais pas dans les techniques employées), on pourrait croire qu’il n’y a pas vraiment de solutions pour éviter une attaque de ce type. En réalité, même si le risque zéro n’existe pas, il est possible de s’y préparer pour faire face à ce type de menaces. Étant donné que les cyberattaquants vont cibler les données ou biens essentiels à l’activité de l’entreprise, la stratégie de sécurité doit se focaliser sur ces éléments. Les solutions autour de la sécurité des données peuvent aider les entreprises à prendre des mesures préventives pour protéger ce qui doit l’être.

Par Nicolas Leseur, chef de produit et innovation sécurité, virtualisation, stockage chez Telindus France

agrandir la photo

La sensibilisation des utilisateurs va aussi pouvoir permettre de contrer les premières phases d’une attaque comme celle que nous avons décrite. Doe n’aurait peut-être pas cliqué sur le lien dans le mail qu’il a reçu s’il avait regardé un peu plus en détail. Il se serait alors rendu compte que le nom de son interlocuteur ne correspondait pas à son adresse e-mail habituelle. Il aurait alors pu alerter son RSSI.

De plus, il est fortement déconseillé de lancer un fichier exécutable sur son poste de travail si l’on n’en connaît pas la nature exacte. Les éditeurs de sécurité sont au fait de ce type de menace. Il existe donc de nouvelles solutions permettant, via une analyse en environnement sécurisé et maîtrisé, de tester l’impact d’un code supposé malicieux. Il est alors possible d’investiguer pour rechercher les traces de ces malwares sur le Système d’Information et de les bloquer.

 

Source.:

Liste d'outils pour la désinfection de PC

Outils de désinfection

• AdwCleaner: Outil visant à supprimer les adwares, PUP/LPIs, toolbars, hijackers...
• AntiZeroAccess: Outil visant à supprimer les rootkits ZeroAccess.
• ComboFix: Suppression tous types de malwares....
• Dr.Web Cureit: Suppression tous types de malwares....
• DelFix: Suppression des outils de désinfection....
• Flash_Disinfector: Suppression des infections se propageant par supports amovibles...
• Gmer: Outil de recherche de rootkits...
• Junkware Removal Tool: (JRT) Outil visant à supprimer les adwares, PUP/LPIs, toolbars ...
• LoadTool: Regroupement de tous les outils de désinfections...
• MBAM (Malwarebytes Anti-Malware) : Suppression tous types de malwares...
  • Téléchargement direct : http://www.malwarebytes.org/mbam-download-exe.php / http://data.mbamupdates.com/tools/mbam-rules.exe
  • Si bloqué : http://www.malwarebytes.org/mbam-clean.exe / http://malwarebytes.org/mbam-download-exe-random.php
• MBAR: Outil visant les rootkits ...
• Pre_Scan: Outil permettant la suppression du point de démarrage des principales infections.
• Revo Uninstaller:Désinstalleur de programmes.
• RogueKiller: Suppression générique de malwares, spécialisé dans les rogues, ransomwares et certains rootkits...
• TDSSKiller:Outil visant les rootkits TDSS.
• Unlocker: Suppression de fichiers...
• VTUploaderZ: Simplifie l'envoie de fichiers vers VT.
• WIGI: Recherche des vulnérabilités dues à des logiciels non à jour.
• ZHPCleaner: Outil visant à supprimer les adwares, PUP/LPIs, toolbars, hijackers...

Scan Antivirus en ligne

• Bitdefender: Scan en ligne de Bitdefender.
• ESET Online Scanner: Scan en ligne d'ESET.
• Kaspersky: Scan en ligne de Kaspersky.
• Panda Security : Scan en ligne de Panda.

Outils de réparations

• CAT Crisis aversion Tools Permet de résoudre de nombreux problèmes de fonctionnement...
• Eset (ESET SirefefEVCleaner & ESET ServicesRepair): Outils pour réparer les services système (infection Sirefef/ZeroAccess).
• Fixwin: Permet de résoudre de nombreux problèmes de fonctionnement sur Seven et Vista...
• LogonFix: Blocage écran bienvenue ou écran noir...
• Macrium Reflect: Permet de créer une image disque et un CD de restauration.
• Recherche fichiers windows : Remplacer un fichier windows manquant ou endommagé...
• Restauration associations : Restauration des associations de fichiers dans le registre...
• RstHosts : Gérer et restaurer le fichier hosts.
• Windows Repair: Outil de réparation Windows.
• WinUpdateFix : Réparation de Windows Update.

Liens utiles

• Index of /win-services : "Services" Windows en fichiers .reg (pour XP, Vista et Seven)
• PC Support: Codes erreur sous Windows.
• Outils de Laddy
• Outils de Xplode

Source.:

Les sites de téléchargements qui repackent

Suite au topic sur le repacks chez Clubic, je vais commencer à énumérer les « gros » sites de téléchargement qui effectuent du repacks.
Si vous en avez à proposer, n’hésitez pas à me contacter.
Pour rappel, la pratique consiste à proposer un installeur qui va proposer des logiciels additionnels que je qualieferai de parasites, ces programmes sont en général :

• Des Browser Hijacker qui vont modifier la page de démarrage et moteurs de recherche de tous les navigateurs WEB pour vous obliger à utiliser un moteur de recherche en particulier.
• Des adwares (logiciels publicitaires) qui vont inonder vos pages WEB de publicités en plus de celles habituelles.

Ces programmes ralentissent le surf ou l’ordinateur.
Les explications plus détaillées et bonnes pratiques sur ces programmes parasites sur la page : Programmes parasites / PUPs
Le but de ces programmes est donc de faire gagner de l’argent aux éditeurs mais c’est aussi une nouvelle méthode pour les sites de téléchargement de monétiser leurs sites puis qu’ils touchent aussi de l’argent à chaque installation réussie de ces programmes.
Les sites qui ne repackent pas :

• Telecharger.malekal.com
• www.commentcamarche.net/download/
• telecharger.tomsguide.fr
• www.cnetfrance.fr
• www.lelogicielgratuit.com
• telechargement.zebulon.fr
• www.pcastuces.com
• jetelecharge.com
• oldapps.com
• www.oldversion.fr
• madolo.fr

Les sites de téléchargements qui pratiquent ces repacks ou proposent des programmes parasites.

Telecharger.com

PCTuto/Tuto4PC : association avec 01net
PCTuto et 01net : Le foutage de gueule continue
01net/telecharger.com : ça ne s’arrange pas…
01Net PC Optimizer pour ne pas optimiser son PC

Click this bar to view the full image.

Click this bar to view the full image.

ClubIC

http://www.malekal.com/2014/11/26/clubic-repack-pups/

Click this bar to view the full image.

filehippo.com

Click this bar to view the full image.

SourceForge

Click this bar to view the full image.

Download.com / Cnet (Version US)

Click this bar to view the full image.

Softonic

Softonic : Repack de logiciels => PUPs / LPIs

Click this bar to view the full image.

downloadastro.com

Click this bar to view the full image.

Soft32.fr

Click this bar to view the full image.

Portalux.com

Click this bar to view the full image.

Malavida.com

Click this bar to view the full image.

telecharger.logiciel.net

Click this bar to view the full image.

sur-telecharger.com

avec d’autres adresses :
monde-software.com
downloaden-gratis.com
sur-telecharger.com
01-telecharger.com
bajar-programas.com
top20soft.com
downloaden-jetzt.com
zona-descargas.com

Click this bar to view the full image.

Soft-Box.net

La même charte graphique que précédemment mais pour des arnaques SMS.

Click this bar to view the full image.

top-logiciels.com

Bis repetitis

Click this bar to view the full image.

Softbian.com et consorts

Click this bar to view the full image.

Click this bar to view the full image.

itwiss.com

Click this bar to view the full image.

etc
etc

Source.: 

Read more at http://www.malekal.com/2014/12/04/les-sites-de-telechargements-qui-repackent/#OupH8PsJlVVWijsW.99