L'anatomie d'une attaque: Les attaques de masse ont laissé place à des attaques ciblées

Plongée au coeur d’une cyberattaque

Cette tribune aborde l’anatomie d’une attaque utilisant la méthode de « spear phishing » pour pénétrer le Système d’Information d’une entreprise. Même si ce cas est de pure fiction, beaucoup d’attaques sont ou ont été très similaires dans le mode opératoire.

Le contexte des menaces informatiques a beaucoup évolué ces dernières années et les attaques de masse ont laissé place à des attaques ciblées, dont le mode opératoire est beaucoup plus complexe. Retour sur l’anatomie d’une attaque.

Nous vous proposons, dans cet article, d’aborder sous forme d’un exemple, l’anatomie d’une attaque utilisant la méthode de « spear phishing » pour pénétrer le Système d’Information d’une entreprise. Même si ce cas est de pure fiction, beaucoup d’attaques sont ou ont été très similaires dans le mode opératoire et la stratégie des cyberattaquants est souvent payante.

La cible

Créons, pour notre scénario, une société commerciale, World Company, leader sur son marché, qui vend des solutions à d’autres entreprises dans un secteur très spécifique et sur un marché international très concurrentiel. La valeur de cette entreprise est son savoir- faire, mais surtout sa base client. C’est ce que les cyberattaquants vont chercher à atteindre, mandatés par une société concurrente d’un pays émergent. Le mode opératoire de l’attaque et les codes malicieux pour pénétrer le Système d’Information vont donc être développés spécifiquement pour cette cible.

Première phase : connaître la cible pour mieux l’atteindre

Le premier travail des cyberattaquants va être d’étudier la cible: l’activité de l’entreprise, ses positions géographiques, son organisation… et finalement ses employés afin de sélectionner les « candidats » propices, c’est-à-dire ceux pouvant accéder aux données convoitées. Les techniques de social engineering permettent d’obtenir un grand nombre d’informations sur les employés ciblés: rôle dans l’entreprise, relations professionnelles, centres d’intérêt, carrière…

C’est ainsi que John Doe est sélectionné pour être le point d’entrée des premières phases de l’attaque. Ingénieur commercial, il a donc accès à la base client ainsi qu’aux données regroupant tout ce qui a été vendu aux clients de son entreprise avec les tarifs, les marges, les taux de remise… John Doe fait régulièrement du golf avec d’anciens collègues. Il est dans la société depuis quelques années et aimerait la quitter en espérant donner un coup de pouce à sa carrière. Les cyberattaquants vont alors envoyer un mail à Doe en usurpant l’identité d’un de ses partenaires de golf. Cet e-mail propose à Doe de se connecter sur le site d’un cabinet de recrutement pour réaliser un test d’aptitude.

John connaît l’expéditeur du mail et donc ne se méfie pas, et clique alors sur le lien. Le site, construit pour les besoins de l’attaque, lui propose de télécharger une petite application pour réaliser ce test. Notre ingénieur exécute le fichier qui lui retourne un message d’erreur indiquant qu’il ne peut pas fonctionner sur son poste de travail. Pour lui, cela ne va pas plus loin. Il ne voit malheureusement pas ce qu’il se passe sur son poste de travail, et ne se rend pas compte qu’il vient d’ouvrir malgré lui une brèche dans le Système d’Information de son entreprise. Doe ne va pas non plus faire appel au support informatique de sa société pour signaler qu’une application qu’il n’aurait pas dû utiliser au travail n’a pas fonctionné !

Deuxième phase : prise de contrôle et infiltration

Vous l’aurez deviné, l’application téléchargée et exécutée est un malware qui va agir silencieusement sur le poste de travail; on parle alors d’attaques furtives. Ce code forgé spécifiquement pour l’attaque est unique, il ne sera donc pas détecté par les outils de sécurité dont la reconnaissance est basée sur des signatures (antivirus par exemple).

Ce malware va dans un premier temps ouvrir un canal de communication chiffré pour joindre le serveur C&C (command and control) des attaquants. Cela va leur permettre de prendre la main sur le poste de travail et de télécharger d’autres codes utilisant des vulnérabilités 0-day, pour usurper ou utiliser les droits de Doe et pour se propager dans le Système d’Information à la recherche des données convoitées.

Le ou les malwares pourront éventuellement se répandre sur d’autres postes de travail pour faciliter la recherche et scanner les différents lecteurs réseau qui hébergent les données de l’entreprise. Cette phase peut prendre plusieurs mois, le temps d’atteindre le but recherché, de manière silencieuse en restant sous les radars des systèmes de sécurité traditionnels (low and slow).

Dernière phase : exfiltration

Une fois le ou les fichiers identifiés, ils vont alors être uploadés vers les serveurs des cybercriminels. Étant donné que nous parlons de fichiers de quelques mégaoctets, ce flux chiffré va encore une fois passer inaperçu. L’histoire se termine dans la majorité des cas par l’effacement de toutes les traces et l’autodestruction des codes malveillants utilisés. L’entreprise victime ne se rendra sûrement pas compte qu’elle a subi un vol de données.

Film catastrophe ?

Face à un tel scénario, finalement très simple dans le mode opératoire (mais pas dans les techniques employées), on pourrait croire qu’il n’y a pas vraiment de solutions pour éviter une attaque de ce type. En réalité, même si le risque zéro n’existe pas, il est possible de s’y préparer pour faire face à ce type de menaces. Étant donné que les cyberattaquants vont cibler les données ou biens essentiels à l’activité de l’entreprise, la stratégie de sécurité doit se focaliser sur ces éléments. Les solutions autour de la sécurité des données peuvent aider les entreprises à prendre des mesures préventives pour protéger ce qui doit l’être.

Par Nicolas Leseur, chef de produit et innovation sécurité, virtualisation, stockage chez Telindus France

agrandir la photo

La sensibilisation des utilisateurs va aussi pouvoir permettre de contrer les premières phases d’une attaque comme celle que nous avons décrite. Doe n’aurait peut-être pas cliqué sur le lien dans le mail qu’il a reçu s’il avait regardé un peu plus en détail. Il se serait alors rendu compte que le nom de son interlocuteur ne correspondait pas à son adresse e-mail habituelle. Il aurait alors pu alerter son RSSI.

De plus, il est fortement déconseillé de lancer un fichier exécutable sur son poste de travail si l’on n’en connaît pas la nature exacte. Les éditeurs de sécurité sont au fait de ce type de menace. Il existe donc de nouvelles solutions permettant, via une analyse en environnement sécurisé et maîtrisé, de tester l’impact d’un code supposé malicieux. Il est alors possible d’investiguer pour rechercher les traces de ces malwares sur le Système d’Information et de les bloquer.

 

Source.:

La NSA peut localiser et intercepter les appels téléphoniques mobiles 3G a travers le monde

Des failles dans les réseaux 3G permettent d’écouter tous les appels

Des chercheurs en sécurité ont trouvé de multiples failles dans le protocole de signalisation SS7, permettant d’intercepter des appels et des SMS, et de géolocaliser les terminaux. Inquiétant.

agrandir la photo

Cette fin d’année ne sera pas bonne pour les opérateurs télécoms et leurs stratégies de sécurité. Plusieurs chercheurs en sécurité vont profiter de la prochaine conférence 31C3 du Chaos Computer Club - qui se déroule du 27  pour montrer des attaques sur les réseaux mobiles 3G, permettant d’intercepter n’importe quel appel ou SMS. Certaines informations sur ces attaques ont d’ores et déjà filtré dans la presse.

Ainsi, Karsten Nohl et d’autres experts de la société allemande Security Research Labs (SRLabs) viennent de démontrer leur méthode à quelques journalistes outre-Rhin. Armé d’une antenne radio à 400 euros et d’un PC portable, ils arrivent à saisir la clé utilisée pour chiffrer les communications 3G de n’importe quel smartphone aux alentours. Comment ? En la demandant à l’opérateur, tout simplement !

Une simple requête protocolaire suffit

En effet, les chercheurs ont détecté une faille dans le protocole de signalisation Signal System 7 (SS7), que tous les opérateurs 3G utilisent pour pouvoir bien acheminer leurs appels à travers le monde. Ce protocole leur permet, en particulier, d’échanger leurs clés de chiffrement sur simple requête, lorsque les appels passent d’un réseau à l’autre. Or, SRLabs a trouvé un moyen pour faire cette requête directement auprès d’un opérateur, ni vu ni connu.  

Karsten Nohl et sa troupe ont réalisé avec succès cette attaque sur les réseaux mobiles de Deutsche Telekom, Vodafone et O2. Les deux premiers ont d’ores et déjà signalé avoir comblé la faille en question, en limitant l’accès à cette fonctionnalité SS7. Mais il est probable que beaucoup d’autres opérateurs 3G dans le monde sont vulnérables.

Précisons que les chercheurs n’ont montré que la lecture de SMS. Ils n’ont pas encore réussi l’écoute d’appels téléphoniques, en raison d’un codage spécifique des données récupérées. « C’est une partie que nous n’avons pas encore bricolée. On récupère des fichiers pour lesquels nous n’avons pas de lecteur approprié, précise Karsten Nohl auprès de Zeit.de. Néanmoins, nous voyons déjà les numéros de téléphone de l’appelé et de l’appelant. Nous savons donc que l’appel a bien été déchiffré. » Bref, ce n’est qu’une question de temps, et les chercheurs de SRLabs pourront également écouter et enregistrer les appels environnants.

Des techniques qui font penser à la NSA

Certes, me direz-vous, mais que faire lorsque la personne ciblée ne se trouve pas à proximité ? Là encore, SRLabs a la réponse. Les chercheurs ont trouvé une autre faille dans SS7 qui permet de localiser n’importe quel téléphone portable dans le monde, si l’on connait son numéro IMSI (International Mobile Subscriber Identity). Celui-ci est unique pour chaque carte SIM. Il suffit ensuite de rendre dans la zone concerné pour procéder à l’interception.

C’est un effort que le chercheur en sécurité Tobias Engel, pour sa part, n’a pas besoin de faire. Car il a trouvé un autre moyen pour écouter les appels 3G sans bouger de chez lui. Là encore, c’est une faille dans SS7 qui lui donne ce pouvoir. Il utilise les fonctions de transfert d’appel de ce protocole pour router les appels à travers une infrastructure dont il a le contrôle, avant de les acheminer vers le bon destinataire. A priori, même pas besoin, dans ce cas, de procéder à un déchiffrement. « Je doute que nous soyons les premiers dans le monde à réaliser à quel point le réseau SS7 est ouvert à tout vent », souligne le chercheur auprès de The Washington Post.

En effet, ces différentes failles peuvent être mises en parallèle avec les multiples révélations d’Edward Snowden sur la capacité de la NSA à localiser et intercepter les appels téléphoniques mobiles. Il est possible que les agents secrets utilisent ce même type d’attaques pour arriver à leur fin. Précisons que les failles détectées ne concernent pas les communications 4G, qui s’appuient sur d’autres protocoles de signalisation. Toutefois, il ne faudrait pas se réjouir pour autant, car il est peu  probable que l’industrie des télécoms ait soudainement pris conscience de la faible sécurité de ses infrastructures.  

La parade : le chiffrement de bout en bout

Comment se protéger dans ces conditions ? Une seule technologie semble, à jour, être une parade efficace : le chiffrement de bout en bout des communications téléphoniques. Plusieurs applis  le permettent aujourd’hui, comme Silent Phone de Silent Circle, ou RedPhone de Whispersystems.  

Karsten Nohl et Tobias Engel donneront tous les détails de leurs découvertes le 27 décembre prochain, respectivement à 18h30 et à 17h15. Ils ne seront pas les seuls à tirer à boulets rouges sur SS7. Les chercheurs de la société française P1 Security seront également de la partie. Le même jour, à 23h00, ils dévoileront une carte globale des vulnérabilités de SS7.

Lire aussi :

Faire planter un réseau mobile national, c'est simple comme un coup de fil, le 24/04/2014

Sources :

Zeit.de, Washington Post

La NSA déchiffre toute les carte SIM

Le plan démoniaque de la NSA pour déchiffrer toutes les communications mobiles

Plutôt que de s’échiner à casser les clés de chiffrement des connexions mobiles, les agences secrètes ont trouvé bien meilleure : ils les volent par millions auprès de ceux qui les fabriquent, comme par exemple Gemalto.

agrandir la photo

Une fois de plus, l’industrie des télécoms nous montre qu’elle est incapable d’assurer la sécurité de ses clients. Publiés par The Intercept, des documents d’Edward Snowden révèlent que la NSA et le GCHQ détroussent les fabricants de cartes SIM tels que Gemalto depuis au moins 2010, afin de mettre la main sur des millions de clés d’authentification censées assurer la protection des communications entre le téléphone mobile et la station de base.

En effet, chaque carte SIM est dotée d’une clé d’authentification unique baptisée « Ki » qui permet à l’opérateur de vérifier l’identité de l’abonné au moment où celui-ci se connecte au réseau : la station de base envoie un message aléatoire au terminal qui le renvoie après l’avoir chiffré avec la clé Ki. L’opérateur, qui détient également la clé Ki, procède à la même opération, puis compare les deux résultats : s’ils sont égaux, bingo, l’utilisateur est connecté.

Les gardiens des clés pas très vigilants

Mais la clé « Ki » ne sert pas seulement à authentifier l’utilisateur, elle est également utilisée pour générer la clé dite « Kc » qui est différente à chaque connexion et qui servira à chiffrer les communications entre le terminal et la station de base. Or, celui qui connait « Ki » peut retrouver « Kc », et donc déchiffrer les communications.

agrandir la photo

On comprend bien l’intérêt pour la NSA de mettre la main sur ces fameuses clés d’authentification : les agents secrets n’ont ainsi plus qu’à intercepter de manière passive les ondes radio à un endroit donné, les stocker dans une base de données puis les consulter tranquillement, quand ils le souhaitent. Les ambassades américaines à Paris ou Berlin sont, par exemple, suffisamment proches des sites gouvernementaux pour réaliser ce type d’interception.

Mais comment la NSA et le GCHQ ont-ils réussi à voler ces clés ? Ces dernières sont générées par les fabricants de cartes SIM. Chacune est codée directement dans une partie théoriquement inviolable de la mémoire de la puce. Mais une copie est transmise à l’opérateur, qui en a besoin pour vérifier l’identité de l’utilisateur. Et c’est là que le bât blesse : les documents d’Edward Snowden montrent que cette transmission est faite un peu à la légère, par e-mail ou FTP, avec un faible niveau de protection, voire aucun. Il suffit donc d’identifier les bonnes personnes dans les bonnes entreprises, et c’est le jackpot.

Siphonnage industriel

D’ailleurs, les agences américaines et britanniques n’y sont pas allées avec le dos de la cuillère. Gemalto, qui est le plus grand fournisseur de cartes SIM dans le monde, a été complètement piraté, à coup d’interceptions et de malwares. « Nous pensons avoir la totalité du réseau », peut-on lire dans l’un des documents. Interrogé par The Intercept, la direction de Gemalto se montre abasourdie par cette révélation. Visiblement, personne n’a rien remarqué. Mais le champion de la carte à puce n’était pas le seul en ligne de mire. Les agents secrets ont également ciblés des concurrents comme Bluefish et Giesecke & Devient, des fabricants de terminaux comme Nokia et Ericsson, des opérateurs comme Belgacom ou Irancell, etc. Tout était bon à prendre pour récolter ces fameuses clés, et de manière quasi-industrielle.

agrandir la photo

Combien en ont-ils récupérés ? Selon les documents d’Edward Snowden, plusieurs millions de clés ont pu être volées en l’espace de trois mois en 2010. A cette époque, la NSA précisait qu’elle était capable de de traiter et archiver entre 12 et 22 millions de clés... par seconde. Et que son objectif était d’arriver à 50 millions. Cette énorme capacité de traitement laisse imaginer le pire. NSA et GCHQ ont peut-être d’ores et déjà la main sur la majorité des clés de cartes SIM dans le monde.

Face à ces révélations, la conclusion est que les communications mobiles ne peuvent plus être considérées comme sécurisées. Ceux qui ont besoin de transmettre des données confidentielles ont intérêt à utiliser des solutions telles que Silent Circle, Cryptocat, TextSecure, Red Phone, OTR, etc. Ces solutions ont l’avantage de chiffrer les communications de bout en bout, avec des techniques avancées comme Perfect Forward Security, qui mettent à l’abri l’utilisateur même si les clés de chiffrement sont volées.   

Source.:

Les quartiers-généraux (connus) d’agences d’espionnage:

Le top des nids d’espions à travers le monde

On pourrait croire que les agences d’espionnage usent de fausses façades et de tunnels souterrains pour garder leurs quartiers généraux secrets, mais la vérité est toute autre. La plupart de ces agences sont même bien à vue du public. Peut-être plus étonnant encore, leurs bâtiments sont parfois plutôt tape-à-l’œil... Mais qui sait, ils peuvent toujours avoir d’autres repères bien à l’abri des regards. Voici le top des quartiers-généraux (connus) d’agences d’espionnage.

La NSA

L’Agence nationale de la sécurité est une agence américaine qui s’occupe de la collecte de données et de renseignements d’origine, électromagnétique, téléphonique et informatique. Ses locaux sont situés à Fort Meade au Maryland.

La CIA

La CIA ou Agence Centrale du Renseignement, a son QG à Langley en Virginie. Le nom officiel du bâtiment est le George Bush Center for Intelligence...

Le MI5

Le MI5 (Intelligence Militaire, section 5) est le service de renseignement britannique qui a pour mission de protéger le pays d’attaques intérieurs. Ce bâtiment londonien se nomme Thames House.

Le MI6

La section 6, dans laquelle appartient le fameux agent 007, a pour mission de protéger l’Angleterre d’attaques extérieures. Son quartier général porte le nom du SIS Building, mais il est aussi connu sous le sobriquet de Legoland. Il est situé à Londres, au bord de la Tamise.

Le GCHQ

Le GCHQ ou Government Communications Headquarters, est l’équivalent de la NSA pour les Anglais. Appelé affectueusement le «Doughnut » (beigne) à cause de sa forme circulaire, cet édifice est situé à Cheltenham, une ville au nord-ouest de Londres.

Le FSB

Le Service fédéral de sécurité de la fédération de Russie est l’agence qui a remplacé le KGB après la chute de l’URSS. L’immeuble historique qui abrite les services secrets russes se nomme la Loubianka. Située à Moscou, elle servait autrefois de prison ainsi que de QG pour le KGB.

Le SCRS

Le Service canadien du renseignement de sécurité est une agence d’antiterrorisme et de contre-espionnage. Ses locaux principaux sont situés à Ottawa.

Le CSTC

Tout comme la NSA et le GCHQ, le CSTC (Centre de la sécurité des télécommunications Canada) se spécialise dans la surveillance et la collecte de renseignements informatiques et téléphoniques. Son quartier général est situé tout près du SCRS, à Ottawa.

La DGSE

La Direction générale de la sécurité extérieure est l’équivalant de la CIA pour la France. Elle siège au 141, boulevard Mortier à Paris. On la surnomme la « piscine » car elle est située tout près de la piscine des Tourelles.

Le BND

Le Bundesnachrichtendienst est le service fédéral de renseignement extérieur allemand. Ses nouveaux locaux sont au centre de la ville de Berlin.

Source.:

Lenovo aurait pré-installé un adware sur ses PC

Lenovo et adware VisualDiscovery / VisualSearch

Cela commence à faire du bruit, Lenovo aurait pré-installé un adware sur ses PC, du nom de "Adware VisualDiscovery" ou "Adware VisualSearch".

Quelques sujets qui font mention :
https://forums.lenovo.com/t5/Lenovo-P-Y ... 174#M79882
http://www.theverge.com/2015/2/19/80675 ... #289781986
http://marcrogers.org/2015/02/19/lenovo ... s-all-ssl/

En Décembre, j'avais twitté : https://twitter.com/malekal_morte/statu ... 4576763904 et ttps://twitter.com/malekal_morte/status ... 3229882368

Lenovo et adware VisualDiscovery / VisualSearch

En effet quelques sujets relatifs à ce problème de publicités intempestifs SuperFish / Visual Discovery à l'époque :
visualdiscovery-pops-publicitaires-t50167.html
http://www.commentcamarche.net/forum/af ... -discovery
http://www.commentcamarche.net/forum/af ... ldiscovery

Le fichier responsable de ces publicités était dans un dossier Lenovo et signé.

Une page de désinfection avait même été faite sur supprimer-virus : http://www.supprimer-virus.com/visual-discovery/


Lenovo a publié un communiqué précisant la position de la société : celle ci précise que les ordinateurs embarquant Superfish "ont été livrés dans entre septembre et Octobre" et que Superfish a été désactivé depuis le mois de janvier suite aux commentaires négatifs des utilisateurs. Le constructeur ajoute néanmoins qu"ils ont "minutieusement inspecté la technologie utilisée et qu'ils n'ont pas découvert d’éléments indiquant des risques potentiels pour la sécurité des utilisateurs."

De Charybde en Scylla

Cela aurait pu s’arrêter là, mais de nombreux utilisateurs ont également signalé d’importants risques relatifs à la sécurité des utilisateurs provoqués par ce logiciel indésirable. En effet, le logiciel Superfish a recours a des certificats auto signés. Une pratique problématique : ce certificat autosigné permet en effet à Superfish d’espionner les connexions sécurisées d’un utilisateur avec une banque par exemple, comme l’ont noté plusieurs utilisateurs.
Superfish peut donc déchiffrer des connexions supposées sécurisées afin d’insérer des contenus publicitaires sans que l’utilisateur ne soit averti d’une telle intrusion. Pour beaucoup cela ressemble fort à une attaque man in the Middle telle qu’on la décrit la plupart du temps, avec un tiers indésirable qui s’interpose dans une connexion entre un client et un serveur.
Lorsqu’un navigateur détecte une connexion utilisant un certificat non signé ou signé par une société ne faisant pas partie de ses « tiers de confiance », il signale à l’utilisateur que celle-ci présente un risque. Ce qui n’est pas le cas pour les utilisateurs de Lenovo : Superfish injecte son certificat auto signé afin d’avoir accès aux informations échangées entre le serveur et le client. De fait, le navigateur n’est donc plus en mesure de signaler à l’utilisateur une connexion non sécurisée.
Plus problématique encore : de nombreux utilisateurs notent que la même clef privée est utilisée sur tous les ordinateurs disposant du programme Superfish. Ce qui signifie que si une personne malintentionnée parvenait à mettre la main sur cette clef, en réussissant à extraire la clef chiffrée présente dans le certificat, pourrait facilement intercepter le trafic provenant des ordinateurs Lenovo connectés sur un wifi public, sans que ceux-ci ne se rendent compte de la manœuvre.
Pour les utilisateurs affectés : si la désinstallation de Superfish suffit à s’épargner l’ajout de publicité sur les pages web, il semblerait néanmoins que la désinstallation ne révoque pas automatiquement le certificat.

Bref, on ne sait plus à qui se fier =)

Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas


SOURCE.:
Sécuriser son ordinateur (version courte)