Catégorie : Sécurité

Catégories
hyères informatique Non classé Sécurité

MacBook Air et Pro 2020 ont des problèmes avec les périphériques USB 2.0

Plusieurs utilisateurs de MacBook Air ou MacBook Pro 13 pouces lancés cette année signalent une erreur liée à la gestion ou plutôt à la gestion incorrecte des périphériques USB 2.0 connectés à leur machine via un concentrateur USB-C. L’accessoire cesse de fonctionner de manière aléatoire et ne peut pas être reproduit. Par exemple, lorsqu’il s’agit d’une souris USB-A, d’une interface audio USB-A et d’un moniteur HDMI externe connecté au Mac avec un concentrateur USB-C, les deux premières cabines, tandis que HDMI l’alimentation continue d’être distribuée entre l’ordinateur et le moniteur secondaire.

Certains utilisateurs ont essayé de réinitialiser SMC, de redémarrer en mode sans échec, de réparer le volume avec l’utilitaire de disque, de réinstaller macOS Catalina, certains ont même fait remplacer leur MacBook dans l’Apple Store… Mais rien n’y fait. Y compris les tests de plusieurs hubs différents. Seul le modèle CalDigit Thunderbolt 3, très complet mais non fourni, semble offrir un peu de répit.

Apple, qui est remis en question par de nombreux propriétaires de ces Mac, en est certainement conscient. Il faut espérer qu’une solution est en cours d’élaboration et qu’elle sera proposée rapidement.LIEN

Catégories
Attaque Etude hyères informatique Non classé Ransomware Sécurité

Les ransomwares poursuivent de plus en plus les grandes entreprises: ce que vous devez savoir pour protéger votre entreprise

Le ransomware de « Big game hunt » diffère de ses prédécesseurs qui ont combattu sans distinction. L’activité la plus courante dans les ransomwares reste l’arnaque non sophistiquée qui cible une très grande échelle. Mais de plus en plus de cybercriminels ont les ressources pour développer des campagnes beaucoup plus sophistiquées et du temps pour pénétrer profondément dans les systèmes d’information, planifier et identifier les ressources les plus précieuses, puis tout détruire uniquement après avoir rentabilisé leur investissement.

Ces attaques de rançongiciels de «gros gibier» peuvent représenter un danger moins fréquent mais beaucoup plus grave pour la victime. Pour cette raison, la détection préventive est devenue extrêmement importante pour les entreprises. Cet article explique pourquoi:

Les vagues précédentes étaient différentes
Les anciennes campagnes de rançongiciels comme Locky étaient critiques et n’avaient pas la sophistication des attaques modernes. Leurs auteurs ont ciblé le plus grand nombre, souvent dans le cadre de vastes campagnes de phishing. Les destinataires non acceptants ont cliqué sur un lien malveillant. Les ransomwares pourraient alors gagner de l’espace jusqu’à ce que les fichiers chiffrés soient stockés sur leur machine ou dans le cas des entreprises de leur centre de données. C’était généralement suffisant pour collecter des sommes importantes en très peu d’efforts.

L’attaque bien documentée de WannaCry a marqué le début d’une nouvelle vague de ransomwares. Cependant, la propagation sans discrimination s’est avérée plus dangereuse car elle exploitait les vulnérabilités de manière plus sophistiquée. WannaCry et NotPetya se sont propagés de pair à pair et hors des frontières de l’entreprise, infiltrant des systèmes non corrigés et prenant à la fois des données et des otages de données. Bien que les cybercriminels n’aient pas nécessairement obtenu des fortunes en échange de leurs efforts, ces attaques ont été dévastatrices et ont offert un avenir troublant.

Que pouvez-vous attendre d’un ransomware de gros gibier?
Les ransomwares manquent toujours de subtilité. Loin de saper de petites quantités régulières ou d’espionnage discret des communications d’entreprise, ils s’apparentent davantage à des vols à main armée. Le but est d’être vu, effrayé et payé. Les ransomwares ne sont pas non plus très furtifs, surtout lorsqu’ils ont commencé à chiffrer des fichiers ou à désactiver des systèmes.

Inversement, le ransomware «chasse au gros gibier» infecte discrètement de nombreux systèmes sur le réseau de la victime avant de faire du bruit et de rester silencieux jusqu’au stade de la destruction.

L’énorme télétravail introduit pendant la crise du COVID-19 a permis à de nombreux attaquants d’infiltrer plus facilement les réseaux et de prendre le temps de se préparer à des attaques plus sophistiquées … comme nous le verrons peut-être dans les mois à venir.

Active Directory, l’épine dorsale des nouvelles attaques de ransomwares
Nous avons récemment étudié un nouveau type de ransomware appelé Save the Queen, qui se propage à partir des serveurs Active Directory de la victime (contrôleurs de domaine).
Les contrôleurs de domaine ont les clés du monde numérique. Presque tout autre système s’y connecte, ce qui le rend très important et en fait une cible principale pour la distribution de ransomwares. En raison de leur importance, la manipulation des serveurs Active Directory nécessite des droits d’accès étendus, exactement ce dont les cybercriminels bénéficient dans ce cas. L’ANSSI s’intéresse – et est au courant – depuis longtemps sur ce sujet et vient de publier une collection sur AD Security: https://www.cert.ssi.gouv.fr/uploads/guide -ad.html

L’accès est l’une des raisons pour lesquelles les ransomwares de gros gibier sont si troublants. Pour les cybercriminels, infiltrer un réseau est un jeu d’enfant. Ils peuvent facilement accéder à des applications de niveau supérieur ou à des comptes administratifs. Ils peuvent également utiliser leur propre infrastructure contre leur victime. Les auteurs de Save the Queen l’ont fait.

Avec tous ces accès, l’attaquant peut accéder à des données extrêmement sensibles: informations financières, propriété intellectuelle, monétiser ces informations confidentielles, copier des fichiers importants avant de les chiffrer pour menacer de les publier. Il faudrait être naïf pour penser qu’ils n’ont pas réussi à s’en éloigner et le phénomène est suffisamment grave pour mériter d’être inversé. Certains cybercriminels peuvent ne pas vouloir s’embêter à chercher quand ils peuvent se contenter d’une entrée et d’une introduction rapide, efficace et facile. Mais plus ces groupes sont organisés et efficaces pour gagner de l’argent sur la propriété de quelqu’un d’autre, plus ils sont susceptibles de ne laisser aucune miette à leurs victimes.

Quatre étapes pour protéger votre entreprise
* Sachez où les données de propriété intellectuelle, les informations financières, les données personnelles et les e-mails sensibles sont stockés avant que les cybercriminels ne tentent de les voler, de les transmettre ou de les chiffrer. Limitez l’accès à ceux qui en ont absolument besoin pour réduire la surface de l’attaque.
* Identifiez la période pendant laquelle l’indisponibilité d’un système ou de données aura les pires conséquences, par exemple, les jours précédant la semaine la plus occupée de l’année. Les cybercriminels sont intéressés par ce type d’informations sur leurs victimes. Mieux vaut avoir élaboré un plan d’affaires pour la continuité / reprise plutôt que d’avoir à improviser sous pression.
* Une grande partie de la prévention des ransomwares repose sur les sauvegardes. Bien qu’évidemment important, le défi consiste à décider lesquels restaurer, en particulier en ce qui concerne les fichiers. Sans suivi de l’activité du système de fichiers, de nombreuses entreprises doivent saisir une rançon pour savoir ce qui a été chiffré et quand. Si le registre d’activité de fichier n’existe pas, il doit être créé. Cela fournit ensuite des informations sur les activités des utilisateurs infectés.
* Profitez de l’automatisation. Des journaux d’activité et d’analyse adéquats permettent de détecter et d’arrêter les attaques potentielles avant qu’elles ne se propagent. Hiérarchisez et analysez les activités des ensembles de données et les systèmes critiques tels que les grands entrepôts de données, Active Directory et d’autres données télémétriques qui peuvent alerter lorsqu’un cybercriminel est entré sur le réseau.

Actuellement, les fournisseurs de télécommunications offrent un moyen simple d’accéder aux ressources, notamment en raison des capacités de recherche et de filtrage offertes par les outils de collaboration utilisés. Dans le même temps, la plupart des entreprises ne sont pas prêtes à détecter une activité inhabituelle générée par ces utilisateurs externes. Le but principal de toute entreprise est de détecter les cybercriminels qui tentent d’en profiter pour neutraliser leurs activités le plus rapidement possible.LIEN

Catégories
Ekans informatique Non classé Ransomware Sécurité

l’objectif d’Ekans?

Paralyser les systèmes informatiques les plus importants des grandes industries: tel est l’objectif d’Ekans, une rançon. Très sophistiqué, ce serait l’œuvre de pirates indépendants, pas d’un État.

Ekans /Abo Il peut se déboîter la mâchoire pour avaler tout rond des proies plus grosses que lui. Il se replie ensuite sur lui-même pour digérer.

Les cyberattaques contre les systèmes industriels sont assez rares et sont attribuées à presque tous les États, compte tenu de leur niveau sophistiqué. C’est notamment ce qui s’est passé en Ukraine avec la division de la distribution électrique lors du piratage de la centrale d’Ivano Frankivsk fin 2015 ou même avec la destruction de centrifugeuses d’enrichissement nucléaire en Iran en 2010.

Cette fois, les chercheurs des sociétés de cybersécurité Sentinel One et Dragos ont découvert le ciblage de code pour les installations industrielles. Il peut être attribué à des pirates indépendants selon eux. Le code appelé Ekans, ou Snake, est spécifiquement destiné aux raffineries, aux réseaux de distribution d’électricité et aux lignes de production des usines. Au lieu d’essayer de détruire ou de prendre le contrôle des installations, c’est la technique simple du ransomware. Tout d’abord, le code arrête 64 processus liés aux logiciels spécifiques aux commandes industrielles. C’est à partir de ceux-ci que les pirates peuvent accéder et chiffrer les données qui interagissent avec des systèmes importants. Les auteurs demandent le paiement d’une rançon pour les libérer.

Ne payez pas pour perdre gros
Comme toujours, l’attribution de l’attaque est compliquée et, au cours de ses enquêtes, Dragos a retiré une attribution potentielle à une équipe d’État iranienne. Le mode de fonctionnement semble beaucoup plus proche de celui utilisé par les criminels venant dans les hôpitaux de rançon. Ils savent que ces institutions feront tout leur possible pour payer une rançon afin d’assurer la continuité de leur mission. Et pour les industriels, c’est une véritable bénédiction car la plus petite paralysie peut coûter très cher.

Ce n’est pas la première fois qu’un ransomware conçu par des pirates indépendants attaque les processus des systèmes de contrôle industriels. Selon Dragos, une autre souche de code connue sous le nom de Megacortex a été identifiée au printemps 2019. Elle comprenait les mêmes fonctionnalités et pourrait bien avoir été développée par la même équipe.

Catégories
Attaque informatique Non classé Ransomware Sécurité

Qu’est-il arrivé aux technologies de FARO technologies?

Ransomware:
Les opérateurs de Revil / Sodinokibi ont brièvement revendiqué le vol d’une très grande quantité de données de ce spécialiste de l’imagerie 3D. Avant de supprimer les traces. Une intrusion aurait pu se produire via un système Citrix NetScaler vulnérable ou un service RDP disponible sur Internet, entre autres.

FARO Technologies est un spécialiste reconnu de la mesure et de l’imagerie 3D. L’année dernière, l’entreprise s’est distinguée notamment par sa collaboration avec AGP (Arts Graphiques et Patrimoine) pour réaliser une opération de numérisation 3D de Notre-Dame de Paris en cas d’urgence.

L’objectif: « en une journée, procéder à un examen 3D précis du bâtiment après incendie pour établir un diagnostic des dégâts ». Auparavant, les outils FARO avaient déjà été utilisés pour numériser de nombreux bâtiments historiques, dont le monastère du Mont-Saint-Michel. Mais la portée de sa technologie va bien au-delà, par exemple, de l’inspection de grandes structures complexes, y compris même pendant la construction, ou de la modélisation de scènes de crime, entre autres.

FARO Technologies est apparu pour la première fois sur le site, les opérateurs du ransomware Revil / Sodinokibi annonçant leurs victimes de la résistance à l’extorsion le 20 mai. Avec une menace: révéler une partie de leur vol, ce qui représente 1,5 To de données. Ce qui a été fait deux jours plus tard.

Dans leur publication originale, les cybercrapules ont revendiqué le vol de « plusieurs téraoctets de données » qui concernaient l’entreprise et ses clients, mais aussi des graphiques et du code source. Surtout, ils ont affirmé qu’ils étaient déjà en pourparlers pour « vendre les données les plus intéressantes » tout en accusant leur victime « d’essayer de cacher le piratage et la fuite de données ».

Le 25 mai, les cybercriminels ont mis à jour leur annonce: « Il n’y aura pas d’autre publication. FARO Technologies a trouvé un acheteur pour vos données. Pas le montant que nous espérions, mais toujours valable. » Très rapidement, toute mention de cette victime disparaîtrait. du site Revil / Sodinokibi Operators, récemment contacté par les rédacteurs, a déclaré n’avoir aucune information à partager sur ce sujet.

De son côté, il ne semble pas que FARO Technologies ait communiqué l’incident, ni à la presse ni à ses investisseurs: au moment de la publication de ces lignes, son site Internet est muet sur le sujet, de même que ses déclarations au policier boursier SEC.

Nous avons contacté le spécialiste de l’imagerie 3D à deux reprises le 27 mai avant d’obtenir un premier contact de son attaché de presse externe. Ce n’est qu’après un échange téléphonique que la réponse officielle de FARO Technologies est tombée le 4 juin: « Nous connaissons cette publication et nous l’étudions ». Cinq jours plus tard, après un premier rappel, rien de plus.

Cette annonce de FARO Technologies s’avère d’autant plus surprenante que les opérateurs Revil / Sodinokibi ne se lancent pas immédiatement sur l’affichage de leurs victimes: ils commencent par laisser la place à des négociations. Ainsi, les cibles des ransomwares ont initialement au moins sept jours pour céder aux demandes de leurs extorqueurs avant de doubler leur prix. Dans certains cas, cette première phase peut même durer deux semaines, selon plusieurs observations.

Ce n’est qu’après avoir considéré que les négociations ont échoué que les cyber-vagues ont commencé à menacer de transmettre les données volées dans le système d’information de leurs victimes – et même récemment de les vendre au plus offrant, par le biais d’enchères tenues à leur propre site Web. Par conséquent, il ne serait pas surprenant que le lancement du rançongiciel chez FARO Technologies ait eu lieu dans la première moitié de mai, ou même plus tôt.

Pendant ce temps, nous avons découvert un service RDP exposé directement sur Internet par une machine qui semble appartenir à FARO Technologies, selon les données de BinaryEdge. Dans de mauvais rapports sur les packages, Troy a déclaré à Mursch que pendant un certain temps, la société avait exposé un système Citrix Netscaler affecté par la célèbre vulnérabilité CVE-2019-19781, connue sous le nom de Shitrix. Il a été découvert le 11 janvier.

Onyphe a également constaté que le système avait été identifié comme vulnérable lors d’un incident survenu le 15 janvier. Et pour préciser que ce système est resté en ligne au moins entre le 8 décembre et le 8 février. Cependant, il n’existe aucun lien établi entre ces observations et les exigences des opérateurs Revil / Sodinokibi. Jusqu’à présent, après une nouvelle augmentation, FARO n’a rien dit de plus sur l’incident.LIEN

Catégories
Etude informatique Non classé Ransomware Sécurité

Plus de 50 autorités locales ont été affectées par des ransomwares depuis janvier.

ET LES SERVICES D’URGENCE?

Le réseau informatique interne de la ville, son site Internet et le réseau judiciaire ont été paralysés pendant des heures. « Les systèmes d’information suivent actuellement les protocoles recommandés. Cela comprend la fermeture des serveurs, de nos connexions Internet et des PC. Veuillez ne pas vous connecter au réseau ni utiliser des applications informatiques pour le moment », ont averti des courriers électroniques reçus par des autorités locales.

Plus de 50 autorités locales ont été affectées par des ransomwares depuis janvier.

Les réseaux informatiques de la ville américaine de Knoxville, dans le Tennessee, ont été attaqués par des ransomwares, rapporte les médias locaux WVLT dans un article publié le 11 juin 2020. Knoxville est la 134e ville des États-Unis par la taille de sa population, avec 188 000 habitants. C’est également le 51e État ou municipalité des États-Unis à être touché par les ransomwares cette année, selon les déclarations de Brett Callow, chercheur au sein du cabinet de sécurité Emsisoft, à Ars Technica.


La ville de Knoxville, dans le Tennessee, a été victime d’une rançon qui a paralysé son réseau informatique, son site Internet et le réseau judiciaire. C’est la 51ème autorité locale des États-Unis à être victime de ransomware depuis le début de l’année.

Ils ont depuis été récupérés, bien que l’attaque puisse encore occasionner des inconvénients mineurs. Les services d’urgence tels que la police, les pompiers et la ligne d’assistance 911 n’ont pas été affectés lorsqu’ils fonctionnaient sur des systèmes distincts. De plus, aucun serveur de sauvegarde n’a été atteint, grâce auquel les services de la ville pouvaient rapidement revenir à la normale.

David Brace, directeur exécutif et maire adjoint, a déclaré que le Bureau des enquêtes du Tennessee et le Bureau fédéral des enquêtes (FBI) soutiennent la ville dans la résolution de cet incident. Alors que les enquêteurs n’ont pas encore trouvé l’étendue des rançongiciels, David Brace dit qu’aucune donnée sur la cybercriminalité n’a été volée.

Ces pièces jointes sont incluses en millions de dollars

Ces attaques informatiques sont parfois très coûteuses. Deux des incidents les plus connus se sont produits en 2018 à Atlanta et à Baltimore, entraînant des coûts de 12,2 millions de dollars et 18 millions de dollars, respectivement. Il est donc temps pour les villes de réaliser que le coût de leurs réseaux coûtera toujours moins cher qu’une attaque informatique. LIEN

Catégories
Etude informatique Ransomware Sécurité

Ransomware: Questions sur les attaquants chez Honda et Enel (alerte spoiler) Le télétravail!

Questions sur les attaquants chez Honda et Enel (alerte spoiler) Le télétravail!

Les deux groupes ciblés par le ransomware d’Ekan, également appelé Snake, ont exposé d’anciens services RDP directement sur Internet. Mais ils avaient également des systèmes Citrix NetScaler affectés par la vulnérabilité CVE-2019-19871.

Honda et Enel ont récemment reconnu avoir été la cible de cybercriminels. Très rapidement, deux échantillons du ransomware d’Ekan, également connu sous le nom de Snake, sont apparus, suggérant que ses opérateurs avaient en fait tenté d’attraper le constructeur automobile d’un côté et la société énergétique italienne. , d’autre part. Mais où les attaquants ont-ils réussi à s’inviter, ne serait-ce que de manière relativement limitée, aux systèmes d’information de ces deux cibles?

Le chercheur Germán Fernández a très rapidement rapporté qu’un service RDP était exposé sur Internet par un système lié au nom de domaine honda.com, ainsi qu’un de ces services … mais faisant référence à Enel. Et de s’interroger naturellement sur la possibilité d’un lien entre ces services exposés directement en ligne et les attaques menées contre les deux groupes.

Mais une passerelle potentielle a été identifiée par Troy Mursch du rapport Bad Packets: systèmes Citrix affectés par la vulnérabilité CVE-2019-19781, également connue sous le nom de Shitrix. Sur Twitter, il a déclaré qu’un « serveur Citrix VPN (NetScaler) utilisé par Honda » avait été identifié comme vulnérable lors de sa première campagne de recherche de systèmes affectés. Et ajoutez que cela s’applique également à Enel. Pour ces derniers, les systèmes affectés n’ont également tué l’utilisation des correctifs « que quelque part entre le 31 janvier et le 14 février 2020 ».

Vitali Kremez souligne que « les cybercriminels continuent de rechercher des passerelles VPN d’entreprise exploitables comme premier vecteur de violation », et en particulier les systèmes Citrix / Netscaler affectés par la vulnérabilité CVE-2019-19781. En réponse, Troy Mursch se souvient avoir identifié plusieurs victimes de ransomware qui exposaient de tels systèmes: Chubb, Conduent et Pitney Bowes, par Maze, mais aussi ISS World, par Ryuk ou encore Brittany Telecom, par DoppelPaymer.

Catégories
Etude informatique Ransomware Sécurité

Ransomware: des attaquants infiltrent un faux réseau industriel en seulement trois jours

Selon les chercheurs en sécurité, les réseaux de contrôle industriels sont exposés à un certain nombre d’attaques de rançongiciels. Cet avertissement fait suite à une expérience qui a révélé la vitesse à laquelle les pirates détectent les vulnérabilités des infrastructures critiques.

Des chercheurs en sécurité avaient mis en place un leurre pour surveiller la progression de l’attaque … qui ne tarda pas à venir.

Mise en place du leurre
L’entreprise de sécurité Cybereason a construit un leurre conçu pour ressembler à une entreprise d’électricité opérant en Europe et en Amérique du Nord. Le réseau a été conçu pour paraître authentique afin d’attirer des attaquants potentiels en incluant des environnements informatiques technologiques et opérationnels ainsi que des systèmes d’interface humaine.

Toutes les infrastructures sont construites en tenant compte des problèmes de sécurité communs aux infrastructures critiques, en particulier les ports des stations distantes connectées à Internet, les mots de passe de complexité moyenne et certains contrôles de sécurité habituels, y compris la segmentation du réseau.

Le leurre a commencé plus tôt cette année et il n’a fallu que trois jours aux attaquants pour découvrir le réseau et trouver des moyens de le compromettre – y compris une campagne de ransomware qui a infiltré des parties du réseau et qui a réussi à récupérer les informations de connexion.

Le cours de l’attaque
« Très peu de temps après le lancement du » pot de miel « , la capacité du ransomware a été placée sur chaque machine compromise », explique Israel Barak, chef de la sécurité informatique de la cyber-raison chez ZDNet.

Les pirates ont placé des ransomwares sur le réseau à l’aide d’outils de gestion à distance pour accéder au réseau et déchiffrer le mot de passe administrateur pour se connecter et contrôler le bureau à distance.

À partir de là, ils ont créé une porte dérobée pour un serveur compromis et utilisé des outils PowerShell supplémentaires, y compris Mimikatz, qui ont permis aux attaquants de voler des informations de connexion, permettant un mouvement latéral sur le réseau – et la possibilité de compromettre encore plus de machines. L’attaquant a effectué des analyses pour trouver autant de points d’accès qu’ils le souhaitaient et collecté des identifiants au fur et à mesure.

Double peine
En fin de compte, cela signifie qu’en plus de déployer un rançongiciel, les attaquants ont également la possibilité de voler des noms d’utilisateur et des mots de passe qu’ils pourraient exploiter comme un levier supplémentaire en menaçant de révéler des données sensibles si la rançon n’était pas payée.

« Ce n’est qu’après la fin des autres étapes de l’attaque que le ransomware se propage simultanément à tous les terminaux compromis. C’est une caractéristique commune des campagnes de ransomware à plusieurs étapes visant à amplifier l’impact de l’attaque sur la victime », explique Israël Barak.

Réseau compromis
Les attaques de ransomwares provenant de diverses sources ont souvent révélé le piège, et beaucoup ont essayé d’autres attaques, tandis que d’autres pirates informatiques étaient plus intéressés par la reconnaissance du réseau – comme c’était le cas dans une précédente expérience d’oiseau de leurre.

Même si cela ne semble pas aussi dangereux, à première vue qu’une rançon, les attaquants qui tentent d’exploiter le réseau de ce qu’ils croient être un fournisseur d’électricité peuvent finalement avoir des conséquences très dangereuses.

Néanmoins, il semble que les ransomwares soient devenus l’une des principales méthodes par lesquelles les attaquants tentent d’exploiter une infrastructure qu’ils peuvent facilement compromettre, que le rapport décrit comme un «barrage constant» d’attaques contre le secteur. Et le risque devrait s’intensifier.

Renforcer la sécurité de la prévention
Heureusement, ces attaques contre un leurre ne feront aucun mal.

L’expérience montre cependant que les réseaux qui prennent en charge les infrastructures critiques doivent être suffisamment résilients pour résister aux intrusions indésirables en concevant et en exploitant des réseaux pour la résilience – en particulier lorsqu’il s’agit de séparer les réseaux informatiques de la technologie opérationnelle.

Même des améliorations relativement simples, telles que la protection des réseaux avec des mots de passe complexes et difficiles à deviner, peuvent aider, tandis que des initiatives de sécurité plus complexes peuvent aider à renforcer la protection. LIEN