Libre Expression

Étiquette : DDoS

Squid game fait des émules
C’est, au-delà de la série, le phénomène du moment qui fait grimper tous les statistiques, en France comme ailleurs. Pour confirmation, le fabricant des Vans en toile blanche que portent les joueurs se frotte les mains. Elles ont vu leurs ventes augmenter de 7 800 % depuis la diffusion sur Netflix. Les bénéfices engendrés par « The Squid Game » intéressent de nombreuses personnes, toutes ne sont pas forcément bien intentionnées. Les criminels ne reculent donc devant rien pour faire du profit.
Le code « QR » fleurit ici, et là. Sa traduction en mode verbeux signifie « quick response code ou code à réponse rapide », est un type de code-barres à deux dimensions. Celui-ci est lisible par un terminal qu’il soit vu par écran interposé ou sur sa version imprimée sur papier. Ce dernier, que vous trouvez sur votre passe sanitaire est constituée de modules-carrés noirs disposés dans un carré à fond blanc. Attention à ne pas confondre le Flashcode (ou encore 2D-Doc) avec le code QR (à la Française). Au sein de la péninsule ibérique, il est désormais légion. Comme partout ailleurs, cet outil affiche des informations auxquelles on accède lorsqu’on les scanne avec un appareil photo, d’un téléphone portable. Ces habitudes se sont généralisées notamment pour afficher un menu de restaurant, montrer patte blanche au cinéma… Pour autant, tel le couteau peut être un instrument magnifique pour délivrer une tortue des Galapagos emprise dans un filet de pêche. Il est également à l’honneur dans 4 615 vols avec armes blanches, 626 contre les particuliers et 595 contre les institutions, commerces en 2019, en France.
Méfiez-vous s’ils apparaissent seuls et suspendus dans des lieux publics
Police nationale (@policia) 15 octobre 2021
Comme une pièce de monnaie, il possède deux côtés. Le 15 octobre 2021, la police nationale espagnole alertait par un gazouillis d’un nouveau type d’escroquerie à Malaga. Les cybercriminels ont réussi à obtenir les données personnelles et bancaires des victimes, en exploitant les « codes QR ». Par conséquent, ils invitent chaque utilisateur à faire très attention lorsqu’ils en lisent un inconnu, soit à chaque instant. Précisément, les forces de l’ordre soulignent les risques liés au balayage des codes QR qui accompagnent les cartes, qui comportent un triangle, un cercle et un carré, lesquels reproduisent ceux qui apparaissent dans la série populaire et peuvent être trouvés seuls ou accrochés dans des lieux publics.
Des milliers d’Américains vivant à New York et Miami ont vu émerger une étrange carte de visite sous leur porte. L’agence canadienne Wunder use de ces trois formes géométriques pour promouvoir les services de la société Relief. Cette dernière propose une application pour aider les Américains à solutionner leurs problèmes d’endettement. (Crédits : Relief)
Dans « The Squid Game », ces cartes sont attribuées aux individus susceptibles de participer à la compétition de vie ou de mort qui est au centre de l’histoire de cette fiction. Au réel, toute personne qui scannérise la figure géométrique accompagnant les cartes frauduleuses avec son smartphone court le risque d’être contaminé, voire « piraté ». « Si nous scannons un code et que nous ne savons pas s’il est digne de confiance, il peut nous conduire vers des sites infectieux et mettre nos appareils en danger », martèle la police.
QRishing et QRljacking
Mais comment cela fonctionne-t-il ? C’est assez simple en soi ! Lorsqu’un quidam lambda scanne un « QR », au lieu d’accéder à une page web, de télécharger une application ou découvrir un menu… il se retrouve dans un espace où des lignes de codes dérobent vos données personnelles, comme bancaires. Par ailleurs, l’Institut national de cybersécurité ibérique (Incibe) souligne qu’il existe trois modèles d’attaques différentes profitant de ces codes. Deux attaques possibles, la première le Qrishing, puis le Qrljacking.
La police espagnole met en garde contre une escroquerie utilisant des cartes du « jeu de la pieuvre » pour vous voler, ou pire encore. (Crédits : Policía Nacional)
La première est de type phishing. Combinée à l’ingénierie sociale, la victime fournit ses données et indications d’identification en scannant un code « QR » dans une page web, un e-mail ou un message. Somme toute classiquement, l’individu est redirigé vers un site qui usurpe l’identité d’une l’entreprise officielle et qui demande des informations confidentielles ou bancaires. La seconde Qrljacking, ou détournement de session se caractérise par l’utilisation de l’ingénierie sociale pour dévier le compte d’un service qui accepte la fonction « Login with QR code » (comme celle du service WhatsApp). Ils essaient d’inciter la victime à scanner un code QR modifié qui se fait passer pour l’original qui a été précédemment capturé par les cybercriminels. Lors du scannage de ce dernier, provenant bien sûr d’un site web non fiable, le terminal téléphonique est donc infecté par un code conçu pour en exploiter les vulnérabilités.
Cascade de mauvaises nouvelles
Par la suite viennent les téléchargements de logiciels (Drive by download) ou de l’injection de codes malveillants (via un exploit présent sur la page web vers laquelle le code QR redirige). Le site malveillant est conçu pour exploiter les vulnérabilités présentes dans votre smartphone au niveau du logiciel et peut réaliser de multiples actions malveillantes :
- rejoindre un botnet (par exemple pour réaliser une attaque DDoS contre un site web légitime)
- divulguer des informations sensibles
- s’abonner à des services premium
- afficher des publicités de manière silencieuse à l’insu de l’utilisateur
- accéder à différents éléments de l’appareil (microphone, caméra…)
- accéder aux données du navigateur
- envoyer des e-mails
- récupérer la liste de vos contacts afin de leur envoyer des messages (malveillants, bien entendu)
- déclencher des appels téléphoniques vers des numéros surtaxés
- envoyer des SMS malveillants
- effectuer des paiements mobiles
Toutes ces actions se déroulent, évidemment, en arrière-plan, de sorte que les usagers ne sont pas conscients de ces comportements. « France Num » affichait le 23 août 2021, le résultat d’une enquête de MobileIron éloquente quant à nos smartphones et de leurs utilisations vis-à-vis des codes QR :
- 74 % des personnes interrogées estiment qu’ils leur facilitent la vie (mais 51 % déclarent ne pas avoir de logiciel de sécurité sur leur smartphone)
- 47 % de ce même panel ont noté une augmentation de leur utilisation
- Durant les 6 derniers mois, 38 % en ont scanné un dans un restaurant, un bar ou un café, et 37 % pour un commerce de détail
- 53 % des individus souhaitent qu’ils soient davantage utilisés dans l’avenir
- 66 % des interrogés avouent avoir des problèmes, dont plus de la moitié en sont conscients, mais les utilisent quand même
- 51 % des personnes interrogées sont inquiètes quant à la confidentialité et à la sécurité des données concernant l’utilisation des QR codes
L’image, ci-dessus est un exemple de code QR. Il représente l’URL (Uniform Resource Locator) du site Wikipedia.
Vous y êtes ? Très bien, car un homme averti en vaut deux, l’adage fonctionne également avec une femme. Ces conseils de prudence valent également pour toutes réceptions de courriels, clefs USB trouvées au sol, SMS… quelques règles distillées par « France Num » :
- Avant de scanner un QR code, s’assurer qu’il ne couvre pas un autre code
- En cas de doute, ne pas le scanner
- Vérifier l’URL proposée sur la notification avant de cliquer sur la redirection. Si elle est étrange ou très courte, quitter la notification
- Il doit vous amener à une information souhaitée, si ce n’est pas le cas, fermez la page et effacer l’historique de son navigateur
- S’il arrive vers une application de l’AppStore ou de Google Play, s’assurer que l’entreprise mentionnée sur cette page a bien développé l’application demandée
- Ne pas installer d’applications de sécurité à partir d’un lien scanné. On cherche à installer sur votre smartphone ou tablette, un logiciel malveillant (malware)
- Être méfiant sur les QR codes distribués sur des cartes, mentionnés sur des affiches lors d’évènements ou placés dans des lieux publics
octobre 21, 2021
Six membres présumés du ransomware « Cl0p » arrêtés
La police ukrainienne a arrêté six personnes, membres présumés du célèbre gang du ransomware « Cl0p », saisissant de l’argent, des voitures ainsi qu’un certain nombre d’ordinateurs portables. Les entreprises Bombardier, Shell, Qualys ou l’université de Stanford font partie des 57 multinationales infectées. Le CHU de Rouen avait été attaqué le 15 novembre 2019, elle serait liée à l’entité TA 505. C’est un coup de filet qui met fin, momentanément, aux agissements d’un groupe de cybercriminels.
« L’organisateur du groupe Kievien, âgé de 36 ans, avec son épouse et ses trois connaissances, a mené des cyberattaques contre des entreprises étrangères », indique la police ukrainienne. Selon les données préliminaires de l’enquête, c’est au minimum une cinquantaine de sociétés, universités, hôpitaux… qui ont souffert des agressions. Les vidéos des perquisitions et d’arrestations, filmés par les forces de l’ordre Ukrainienne n’ont pas besoin de sous-titre.
Attaques cybernétiques, blanchiment d’argent…
D’après l’ANSSI, le collectif TA505 est « un groupe cybercriminel actif depuis 2014, ciblant principalement la finance et des représentations gouvernementales, mais aussi, et c’est nouveau depuis 2019, des structures dans les secteurs de la recherche, de l’énergie et de la santé ». Les premiers bugs remontent au week-end du 16 novembre 2019. Le CHU de Rouen se réveille alors avec des ordinateurs en panne, infectés par des codes malveillants très virulents qui paralysent tout le système de l’hôpital, écrivait France 3 Normandie.
Plusieurs experts soupçonnent que Cl0p est piloté par un groupe cybercriminel bien connu, « TA505 ». De plus, des liens techniques ont été découverts entre le rançongiciel Cl0p et au moins deux outils utilisés par TA505, nommés Amadey et FlawedAmmyy, selon l’ANSSI.
Les opérateurs de Cl0p continuaient d’engranger les victimes, en mars 2021, en s’attaquant à leurs appliances de transfert de fichiers (FTA) Accellion. Après l’expert français des géosciences CGG, Steris, CSX ou également Bombardier, ils venaient d’ajouter à leur tableau de chasse Qualys. Et là encore, sur l’infrastructure de l’éditeur, on trouve les traces d’une FTA Accellion. (Crédits : Police ukrainienne)
Et pourtant, celle-ci n’était pas configurée pour gérer directement l’authentification : les outils d’Okta étaient là pour cela. La FTA en question répondait encore au moteur de recherche spécialisé Shodan le 18 février 2021. Après les infections et la mise en ligne des données ainsi exfiltrées, des plans d’un radar de détection précoce aéroporté installé sur le jet militaire phare de la société Bombardier, de type AWACS, ont pu être copiés.
En décembre dernier, Cl0p s’en était pris à un détaillant sud-coréen, E-Land, et aurait dérobé deux millions de données de cartes de crédit sur une année. Les policiers de Corée du Sud ont apparemment identifié les suspects peu après. La cyberpolice ukrainienne estime les dégâts causés par le groupe à plus de 412 millions d’euros. Comme d’autres groupes criminels, Cl0p exfiltre des renseignements volés et les publie sur le dark web. Ils exercent une pression sur les entreprises et organisations ciblées. Les forces de l’ordre ukrainiennes affirment aujourd’hui être parvenues à fermer l’infrastructure utilisée par les délinquants pour « propager le virus ».
« Il a été établi que six accusés ont mené des attaques de logiciels malveillants de type ransomware sur les serveurs de multinationales américaines et sud-coréennes », a déclaré la police nationale ukrainienne mercredi 16 juin 2021. (Crédits : Police ukrainienne)
juin 19, 2021
Le cybercasse de deux Français pour 9,5 millions de dollars
C’est le cybercasse le plus important à ce jour. Si la société GateHub a déclaré croire que le pirate informatique avait abusé de son API pour mener ses attaques, sans vraiment savoir comment. Cela semble similaire à une attaque DDoS par réflexion, d’où l’usurpation d’identité. Cette attaque (DDoS) fleurit chez les opérateurs de Ransomware, parce qu’elle est relativement facile à mettre en œuvre. Pour autant, il est possible d’anticiper cette menace, car les conséquences peuvent être dramatiques pour les cibles impactées.
Le préjudice peut être financier, atteindre l’image même de l’entreprise, causant des dommages irrémédiables. En premier lieu, qu’est-ce qu’une attaque par DDoS ? Quelles sont les cibles privilégiées ? Comment s’en prémunir ? Que faire en cas d’infection ?
DDoS, rien ne va plus…
« Les attaques par déni de service distribué (Distributed Denial of Service ou DDoS) sont aujourd’hui fréquentes, notamment du fait de la relative simplicité de leur mise en œuvre, et de leur efficacité contre une cible non préparée. Ces attaques peuvent engendrer des pertes financières non négligeables par l’interruption de service ou encore indirectement, par l’atteinte portée à l’image de la cible », explique le rapport, « Comprendre et anticiper les attaques DDoS » de l’agence nationale de la sécurité des systèmes d’information (ANSSI) en préambule.
Une attaque par « déni de service distribué » (de l’anglais Distributed Denial of Service, DDoS) vise à rendre indisponibles un ou plusieurs services dans un but purement malveillant. L’origine peut être une vengeance, jusqu’aux revendications idéologiques, et bien sûr les extorsions de fonds, à l’aide des fameux Ransomares. Cette attaque se sert d’une faiblesse, d’une vulnérabilité logicielle ou encore ,. Imaginons que votre site possède la capacité de 100 000 connexions simultanées, il suffit de saturer la bande passante, ou attaques volumétriques, pour rendre inopérant votre site. Comme lorsqu’en plein cours, ou, lors d’une réunion, vous recevez trop de demandes et d’informations. Elles vous provoquent un « Bug » au cerveau.
L’attaque use de machines infectées, dites zombies, pour multiplier les connexions et ainsi faire tomber le site de la cible. (Crédits : numerama)
Il peut s’agir aussi d’une grande ouverture de nouvelles sessions TCP dans un intervalle de temps très court, ou encore d’un nombre trop important de traitements concurrents effectués par une base de données. Le TCP (NDLR : Transmission Control Protocol), littéralement, « protocole de contrôle de transmissions », est un protocole de transport fiable, en mode connecté, documenté dans la RFC 7931 de l’IETF. Oubliant le bien-fondé et la protection de notre vie privée, une phrase est entendue maintes et maintes fois : « Je n’ai rien à cacher »… indiquant la non-conscience et supputant la faible protection des systèmes d’informations usités par le grand public.
Néanmoins, nous parlons d’attaque DDoS lorsqu’elle fait intervenir un réseau de machines (souvent compromises, par exemple le vôtre) afin d’interrompre la majeure partie, du ou, des services d’une entreprise, d’une collectivité, d’un centre de soins, d’un hôpital, d’un SDIS… a contrario, d’un ordinateur du quidam lambda.
Les opérateurs derrière le ransomware Avaddon revendiquent, preuve à l’appui, l’attaque par DDoS, l’une des dernières victimes affichées ci-dessus, comme Mikro Trading, en Tchéquie, Basque Centre for applied mathematics (BCAM) en Espagne, mais aussi l’entreprise Targetcom basée en France.
La réponse est plus simple qu’il n’y paraît. Toute entité dont l’activité dépend d’une infrastructure connectée à l’Internet, autrement dit, toutes ! Évidemment, des cibles sont plus lucratives pour les entités malveillantes : ainsi le e-commerce, les gouvernements, les institutions financières, ou bien encore les structures d’hébergement informatique sont des mets privilégiés. En 2014, l’ANSSI admet que les opérateurs français constataient plus d’un millier d’attaques journalières, soit une toutes les 86 secondes. (Crédits : capture d’écran)
Plusieurs moyens d’attaques : ils peuvent user de botnets, de réflexion, d’amplification (DNS, NTP). L’attaque par réflexion consiste à envoyer des paquets (comme vous envoyez des courriers à un tiers) en utilisant l’adresse IP de la machine ciblée comme IP source, pour tromper le terminal par usurpation d’identité. L’amplification est volumétrique, a pour objectif d’épuiser la bande passante réseau disponible afin de rendre un ou plusieurs services inaccessibles. Elle se distingue avec des protocoles DNS, NTP et bien d’autres encore.
Comment s’en prémunir
En premier lieu, considérer qu’un système d’information peut avoir des faiblesses, et donc renforcer l’équipe pour améliorer la sécurité desdits systèmes. Les équipements de type pare-feu et les répartiteurs de charges contribuent à absorber certaines attaques. La limite est lorsque les sites possèdent une forte audience. « Ils ne constituent pas une protection suffisante contre ce type d’attaque d’une manière générale », assure le rapport de l’ANSSI.
Pour cela il est nécessaire, comme dans un bâtiment de guerre (par exemple un sous-marin), de posséder des contres-mesures. Avant de lancer ces protections, il faut identifier la procédure des attaquants. Les moyens mis en œuvre sont pléthores. Car une attaque peut intervenir sur n’importe quelle partie de la chaîne, en interne comme en externe.
Donc, une fois les terminaux protégés, il est primordial que les services ayant accès auxdits terminaux le soient également. Les hébergeurs sont susceptibles d’être force de proposition (entreprise extérieure pour l’hébergement des serveurs), des filtrages comme lorsque vous tamisez votre farine pour la rendre plus fine. Ces derniers sont effectués par un opérateur de transit ou encore en amont par des filtreurs. (Crédits : David Mark/Pixabay)
De plus, il existe un réseau de diffusion de contenu (Content delivery network, CDN) formant un maillage de terminaux reliés via l’Internet et protègeant vos installations, car toutes les données ne sont pas au même endroit. Cela est comme les pièces d’un puzzle disséminées à droite et à gauche, vous pouvez assembler toutes les pièces et obtenir l’objectif final, le beau château ou les petits chatons jouant avec la pelote de laine, sans posséder aucun morceau dudit puzzle chez vous… Le plus simple est d’avoir et d’être en bonne relation avec le responsable de la sécurité informatique, vulgarisé par « RSSI » et de lui demander conseil.
Que faire en cas d’attaque ?
Lorsqu’une attaque est détectée, cela signifie que vous disposez de moyens de supervision et d’alerte, si ce n’est le cas, munissez-vous-en. Vous pouvez évaluer votre niveau d’exposition à la menace « Cyber » sur cette page-ci. Cmme les premiers gestes en portant secours à une personne, il est indispensable de protéger, alerter, écarter et secourir rappellent les sapeurs-pompiers de France. Avant de lancer les contre-mesures, identifier l’élément défaillant, le ou les protocoles utilisés ainsi que les sources de l’attaque… L’attaque DDoS peut-être un cheval de Troie, masquant la véritable volonté des opérateurs malveillants, à savoir une exfiltration de données (Ramsomware) ou une tentative d’intrusion.
« Selon la nature de l’organisme attaqué, la loi peut imposer une déclaration d’incident. Cette déclaration ne constitue en aucun cas un dépôt de plainte, et ne s’assortit d’aucune garantie d’assistance technique », martèle l’ANSSI. De plus, les opérateurs d’importance vitale sont tenus d’informer sans délai l’agence nationale. En 2014, un incident considéré comme significatif atteint au minimum 100 000 abonnés. En cas de survenance d’incident, l’ANSSI possède une page, plus que complète, pour le déclarer « En cas d’incident ». Elle apporte des réponses aux questions que vous pourriez vous poser et les liens s’y rapportant. Car l’attaque DDoS peut avoir de graves conséquences pour l’entreprise ou la collectivité et judiciaires pour ces auteurs. Le Code pénal, à travers son article L 323-2, prévoit jusqu’à 5 ans de prison et 150 000 euros d’amende le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données. Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende.
(Crédits : Mary Pahlke/Pixabay)
Ces sanctions n’incluent évidemment pas les dommages et intérêts que les victimes de l’attaque pourraient réclamer au civil, au titre du préjudice, notamment matériel. En outre, l’article L 323-1 insiste sur « le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 60 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à cinq ans d’emprisonnement et à 150 000 € d’amende. »
Jusqu’à 7 ans de prison
Les exemples de condamnations sont nombreux. Blanchiment d’argent avec le ransomware Locky, « The dark overlord » condamné à 1, 5 million de dollars d’amende, et 5 ans de prison, même nombre d’années de prison pour un hacker Canadien, Karim Baratov tandis que Roman Seleznev en prenait 27. Grant West citoyen britannique condamné à dix ans et huit mois en 2018. Le 13 janvier 2020, en France, un jeune hacker écopait d’une peine de quatre mois de prison avec sursis.
Un jeune Grenoblois de 20 ans, connu sous le pseudo « Prosox » avait pris six mois avec sursis dans une précédente affaire et 140 heures de travail d’intérêt général pour le piratage de la chanson, dont le clip est le deuxième le plus visionné avec 7,264 milliards de vues au 24 mars 2021, « Despacito » sur le site Vevo.
Mais ce dernier se retrouvait dans une bien plus grosse affaire judiciaire. En effet, deux jeunes Français de 20 et 21 ans, Nassim B et Gabriel K.A.-.B. connu respectivement sous les pseudonymes « Prosox » et « Kuroi’SH », ont dérobé plus de 9 millions de dollars en cryptomonnaie. « Sur Internet, nul n’est à l’abri d’une action malveillante ou de messages non sollicités. »
(Crédits : Ichigo121212/Pixabay)
Le 18 février 2021, le gouvernement français affichait la stratégie française pour accroître la cybersécurité et faire face à la menace. « La cybersécurité constitue un moteur de croissance important pour les années à venir. Saisissons-nous de cette technologie pour nous positionner dans les secteurs économiques de demain : le véhicule autonome, l’Internet des objets ou l’informatique en nuage (Cloud) par exemple. C’est maintenant que cela se joue […] », explique Bruno Le Maire, ministre de l’Économie, des Finances et de la Relance. Le but : renforcer la protection des citoyens, des administrations et des entreprises. Et le 8 mars 2021, l’ANSSI proposait un guide des mécanismes cryptographiques, avec des règles et des recommandations. Comme les services de la météorologie, l’agence nationale possède une page relatant les principales menaces. Enfin, elle propose des liens pour signaler toute malveillance ou encore des spams reçus, car l’ANSSI exhorte : « Sur Internet, nul n’est à l’abri d’une action malveillante ou de messages non sollicités. »
mars 29, 2021