May 01, 2017

Batterie pour ordinateur portable Lenovo ThinkPad X120e

Des attaquants ont ciblé des établissements de régulation bancaire et des banques d'état dans plus de 30 pays, ont expliqué ce week-end des chercheurs de Symantec et BAE Systems en recourant à la technique du « point d'eau » qui redirige des internautes vers un site exploitant des failles de Silverlight et Flash Player. Les attaques de malwares qui ont récemment mis en alerte les banques polonaises faisaient en fait partie d’une campagne plus large ciblant les organisations financières de plus de 30 pays. Les chercheurs en sécurité de Symantec et BAE Systems ont rattaché le malware à des attaques similaires qui ont eu lieu depuis octobre 2016 dans d’autres régions. Il y a également des similarités avec des outils précédemment utilisés par un groupe d’attaquants connus dans l’industrie de la sécurité sous le nom de Lazarus.

Les attaquants ont compromis des sites web qui présentaient un intérêt en fonction de leur cible finale. C’est la technique dite du « point d’eau » (« Watering Hole »). Elle consiste à créer un site compromis et à y attirer les victimes. Le code injecté sur le site redirige les visiteurs vers un kit d’exploit spécifique qui contient des programmes exploitant des failles des logiciels Silverlight et Flash Player. Ces derniers ne s’activent que pour les visiteurs dont les adresses IP répondent à certains critères. « Ces adresses IP appartiennent à 104 organisations différentes situées dans 31 pays », expliquent les chercheurs de Symantec dans un billet posté le 12 février. « La grande majorité sont des banques, auxquelles s’ajoutent quelques acteurs des télécommunications et de l’Internet ».

Dans le cas des établissements bancaires ciblés en Pologne, il est suspecté que le code malveillant ait été hébergé sur le site web de l’autorité de supervision financière polonaise (Polish Financial Supervision Authority), le régulateur gouvernemental du secteur bancaire. Les chercheurs de BAE Systems ont de leur côté trouvé des preuves qu’un code similaire pointant vers le kit d’exploit spécifique se trouvait sur le site web de la banque nationale du Mexique en novembre, celle-ci constituant l’équivalent mexicain de la Polish Financial Supervision Authority. Le même code a également été trouvé sur le site web de Banco de la República Oriental del Uruguay, la plus grande banque d’état d’Amérique du Sud, selon BAE Systems. Dans la liste des adresses IP ciblées se trouvaient celles de 19 organisations se trouvant en Pologne, 15 situés aux Etats-Unis, 9 au Mexique, 7 au Royaume-Uni et 6 au Chili.

Le programme déclenchant les exploits est un malware jusque-là inconnu que Symantec appelle maintenant Downloader.Ratankba. Il télécharge un autre programme malveillant qui peut rassembler des informations sur le système informatique compromis. Le code de ce deuxième outil a des similarités avec le malware utilisé précédemment par le groupe Lazarus. Ce dernier opère depuis 2009. Il s’en est souvent pris à des cibles aux Etats-Unis et en Corée du Sud, rappelle Symantec. Le groupe est également soupçonné d’être impliqué dans le vol de 81 millions de dollars perpétré contre la banque centrale du Bengladesh l’an dernier. Dans cette attaque, un malware avait été utilisé pour manipuler les ordinateurs utilisés par la banque pour envoyer des ordres de virements via le réseau de messagerie interbancaire Swift.

« Les preuves techniques pour relier le groupe Lazarus… à l’activité « du trou d’eau » n’est pas claire », constatent les chercheurs de BAE Systems dans un billet publié ce week-end. Toutefois, ajoutent-ils, le choix de régulateurs bancaires et de banques d’état pourrait être un indice, compte-tenu que leurs précédents braquages ont ciblé des banques centrales, même cela n’a pas vraiment permis d’infiltrer plus largement le secteur bancaire.Des attaquants exploitent la vulnérabilité récemment corrigée dans l'API Rest du logiciel de gestion de contenus WordPress. Cette faille permet d'injecter du code dans des sites web gérés par l'outil. Une vingtaine d’attaquants ou de groupes de pirates continuent à défigurer les sites Wordpress qui n'ont pas encore appliqué le patch destiné à corriger une vulnérabilité critique dans l'API REST, laquelle permet d'injecter du code dans les sites construits avec le très populaire système de gestion de contenu. La vulnérabilité, localisée dans l'API REST de la plate-forme, permet à des attaquants non authentifiés de modifier le contenu d’un article ou d’une page des sites construits avec WordPress. La mise à jour 4.7.2 de WordPress livrée le 26 janvier comble la faille, mais l'équipe de développeurs de WordPress a attendu une semaine avant de rendre la vulnérabilité publique, afin de laisser aux nombreux d'utilisateurs le temps de déployer la mise à jour.

Cependant, après ce délai, de nombreux webmasters n'avaient toujours pas appliqué le correctif et la nouvelle a été suivie par une importante campagne d'attaques. Lundi dernier, l’entreprise de sécurité Internet Sucuri avait estimé à environ 67 000 le nombre de pages détruites au cours de quatre campagnes distinctes. Mais depuis, ce nombre est passé à plus de 1,5 million et Feedjit, l’éditeur du plug-in de sécurité Wordfence pour WordPress, a comptabilisé jusqu’à 20 signatures d'attaque différentes. Le nombre de sites Web uniques affectés est estimé à environ 40 000, un site pouvant avoir plusieurs pages défigurées. « Cette vulnérabilité a provoqué une sorte de frénésie parmi les attaquants, en concurrence les uns avec les autres pour défigurer le plus de sites WordPress vulnérables », a déclaré jeudi dans un blog Mark Maunder, le CEO de Feedjit. « Au cours des dernières 48 heures, sur les sites que nous surveillons, nous avons dénombré plus de 800 000 attaques exploitant la vulnérabilité ».

Élément intéressant : les attaquants ont réussi à contourner les règles de blocage mises en place dès le début par les fournisseurs de pare-feu d'applications web et les hébergeurs web pour protéger leurs clients contre l’exploitation de la faille. Ces fournisseurs de service ne peuvent pas obliger les webmasters à mettre à jour leurs installations WordPress, mais ils peuvent ajouter des filtres sur leurs serveurs web pour empêcher ces attaques d'atteindre les sites de leurs clients. En fait, avant de lancer le correctif officiel, l'équipe de sécurité de WordPress avait contacté plusieurs entreprises de sécurité et hébergeurs pour leur demander de déployer des solutions de protection pour les sites Wordpress.

Google a également envoyé des alertes de sécurité sur la vulnérabilité aux webmasters ayant enregistré leurs sites WordPress dans le service Google Search Console. Le géant de la recherche leur recommandait d'installer la mise à jour 4.7.2 de WordPress, mais l’alerte a perturbé les utilisateurs qui avaient déjà appliqué le correctif. Cependant, compte tenu de ce qui s’est déjà passé avec d'autres failles critiques ayant affecté le logiciel et d’autres CMS, malgré tous ces efforts, il y a fort à parier que certaines installations WordPress ne seront pas mises à jour de sitôt et qu’elles resteront vulnérables pendant longtemps. Conséquence probable : dans peu de temps, les attaquants cesseront de défigurer les pages et commenceront à injecter du code malveillant, pour cibler cette fois les visiteurs de ces sites.Pendant un an, la technologie d'apprentissage machine Watson d'IBM a digéré des dizaines de milliers de documents sur la cybersécurité. Elle est aujourd'hui intégrée à la plateforme Cognitive SOC pour permettre aux équipes de sécurité d'accélérer le traitement des cybermenaces.

IBM exploite maintenant sa technologie cognitive Watson au sein de son offre de SOC destinée aux centres de supervision et d’administration de la sécurité. Il vient de l'intégrer à sa nouvelle plateforme Cognitive SOC après avoir fait ingérer à Watson, pendant un an, plus d’un million de documents sur la cybersécurité. Cet apprentissage va lui permettre d'aider les analystes de sécurité à explorer les milliers de rapports de recherche en langage naturel qui n’ont jusque-là pas été exploités par les outils spécialisés, explique IBM dans un communiqué. Selon ses études, les équipes qui prennent en charge les cyber-risques doivent en moyenne trier plus de 200 000 événements par jour pour distinguer les menaces réelles des fausses alertes, ce qui conduirait chaque année à perdre plus de 20 000 heures et environ 1,3 M$ sur des faux positifs. Or, les incidents à traiter devraient doubler dans les 5 prochaines années, rappelle IBM Research. Pour l’instant, seuls 7% des professionnels engagés sur ce terrain ont recours à des outils cognitifs, mais ce chiffre devrait tripler dans les 2 à 3 ans, estime le fournisseur.

Destinée à répondre aux menaces ciblant les terminaux, le réseau, les utilisateurs et le cloud, la plateforme Cognitive SOC intègre donc QRadar Watson Advisor, une app disponible sur la marketplace IBM Security App Exchange. C’est le premier outil à exploiter le corpus d’analyses sur la cybersécurité de Watson. Il va combiner ses capacités de traitement en langage naturel, qui lui permettent d’explorer les blogs, sites web, documents de recherche et autres sources, avec les données fournies par QRadar sur les menaces. Selon IBM, cela permettra de réduire à quelques minutes certaines enquêtes de cybersécurité qui prenaient jusque-là plusieurs jours ou plusieurs semaines.La solution se complète par ailleurs de BigFix Detect, un logiciel EDR (Endpoint Dectection and Response) destiné au traitement des menaces sur les équipements situés en bout de réseau. Associé à l’outil Dynamic Playbook de Resilient, il permettra aux entreprises d’orchestrer et d’automatiser les réponses aux menaces à travers leur organisation. La plateforme Cognitive SOC permet aussi d’accéder à la plateforme de partage d’informations X-Force Exchange permettant une collaboration entre pairs sur les menaces de sécurité.

IBM exploite ses technologies d’apprentissage machine sur son réseau mondial X-Force Command Center. Les clients de ses services de sécurité managés pourront désormais interagir avec un robot conversationnel recourant à Watson. Par ailleurs, un projet de recherche répondant au nom de code Havyn teste un assistant vocal de sécurité qui s’appuie sur les capacités de conversation de la technologie cognitive pour répondre à des commandes faites à haute voix et en langage naturel par les analystes de sécurité.Une méta-étude publiée par Cisco met en évidence les conséquences économiques concrètes après un incident de sécurité sur les systèmes d'information. Le rapport annuel Cisco met des chiffres bien concrets sur les conséquences des cyberattaques pour les entreprises. La moitié des celles qui ont connu un incident de sécurité ont vu celui-ci révélé publiquement. Un quart des entreprises concernées ont perdu des clients. Sur cette proportion, près de la moitié ont perdu plus de 20% de leur clientèle.Logiquement, près du tiers ont perdu du chiffre d'affaires. Et parmi celles-ci, près de quatre sur dix (soit plus d'une sur dix) ont perdu plus de 20 % de leur chiffre d'affaires. Des opportunités commerciales ont également disparu dans près d'une entreprise sur quatre, près de la moitié en ayant perdu plus de 20 %.

Heureusement, suite à un incident de sécurité, 90 % des entreprises améliorent leurs pratiques. Parmi les bonnes résolutions adoptées, dans près de quatre cas sur dix, il y a la séparation des fonctions RSSI/DSI, la sensibilisation des salariés à la cybersécurité ou la mise en oeuvre de méthodologies de réduction des risques. Les deux tiers des entreprises utilisent de 6 à 50 solutions différentes pour gérer leur sécurité.Si l'évolution constante des pratiques des cybercriminels est évidemment un frein à l'efficacité des RSSI, ceux-ci citent également les contraintes budgétaires, le manque de compatibilité entre les différents systèmes utilisés et la pénurie de personnels qualifiés. Certaines évolutions des pratiques cybercriminelles sont des retours en arrière sur d'anciens types d'attaques contre lesquelles les RSSI ne sont plus vigilants, par exemple les spams (65 % des mails reçus) dont un dixième porte de véritables menaces virales. Le spam revient à un niveau similaire à ce qu'il était en 2010.Hewlett-Packard Enterprise complète ses solutions de gestion de la sécurité en bout de réseau en rachetant Niara et ses technologies d'analyse comportementale pour la détection des menaces. Celles-ci complètent les plateformes de SIEM (Security information and event management) en prenant la main après l'authentification au réseau. Elles s'intégreront au portefeuille ClearPath de l'entité Aruba Networks.

  1. http://blogs.montevideo.com.uy/retrouve3
  2. http://retrouve3.kinja.com/
  3. http://retrouve3.jimdo.com/

 

Posted by: retrouve3 at 04:27 AM | No Comments | Add Comment
Post contains 2247 words, total size 22 kb.




What colour is a green orange?




31kb generated in CPU 0.0326, elapsed 0.0577 seconds.
35 queries taking 0.047 seconds, 56 records returned.
Powered by Minx 1.1.6c-pink.

Search Thingy



Recent Comments

Categories

Archives

Blogroll

Sample link

Monthly Traffic

  • Pages: 1481
  • Files: 14
  • Bytes: 65.5M
  • CPU Time: 2:25
  • Queries: 46943

Content

  • Posts: 730
  • Comments: 0

Feeds


RSS 2.0 Atom 1.0