Dans ce bulletin d’information, nous vous proposons un tour d’horizon des dernières tendances en matière de cybercriminalité. Nous commençons par un exemple frappant de détournement de la cybersécurité à des fins malveillantes. Nous vous parlerons également du « re-scam », une nouvelle tendance inquiétante signalée par la Commission australienne de la concurrence et de la consommation. Nous aborderons aussi la question des logiciels espions chez Apple et des fuites de données chez AT&T, qui ont des conséquences dramatiques tant pour les utilisateurs que pour les entreprises. Enfin, nous vous parlerons des dernières menaces et surtout de l’augmentation de la célérité des attaques.

En bref…

La cybersécurité détournée comme prétexte pour des arnaques !

La plateforme gouvernementale française Cybermalveillance.gouv.fr, conçue pour prévenir et lutter contre les actes de cybermalveillance, a récemment été victime d’une usurpation d’identité. Des messages d’hameçonnage ont été massivement envoyés aux internautes, prétendant offrir un programme de remboursement pour les victimes d’arnaques. Se faisant passer pour un agent de la plateforme, l’expéditeur instille une dose d’angoisse chez les destinataires et les incite à répondre pour confirmer la validité du mail. Cette démarche les conduit à divulguer leurs coordonnées bancaires dans l’espoir de se faire rembourser leurs pertes.

En parallèle à cela, une nouvelle tendance inquiétante a été signalée par la Commission australienne de la concurrence et de la consommation : le « re-scam ». Cette pratique consiste à cibler les victimes d’arnaques précédentes en leur proposant de récupérer leur argent perdu moyennant des frais. Les escrocs utilisent les données des victimes d’arnaques passées pour les identifier et les contacter en se faisant passer pour des organismes officiels ou des entreprises spécialisées dans la récupération de fonds. Les victimes, déjà fragilisées par leur première mésaventure, sont particulièrement vulnérables et prêtes à tout pour récupérer leurs économies, ce dont les escrocs profitent pour les piéger à nouveau.

Face à ces menaces, il est impératif que les particuliers et les entreprises redoublent de vigilance et adoptent les bonnes pratiques pour se protéger. Tous peuvent être ciblés par ce genre d’escroquerie et de tentative de re-scam.

Sources:
https://www.20minutes.fr/high-tech/by-the-web/4099311-20240702-cybersecurite-site-gouvernemental-cense-proteger-usagers-hackers-victime
https://www.zdnet.fr/actualites/attention-a-cette-campagne-dhameconnage-qui-usurpe-lidentite-de-cybermalveillance-394055.htm
https://www.clubic.com/actualite-531972-les-escrocs-ne-reculent-desormais-devant-rien-et-vous-proposent-de-vous-aider-a-vous-remettre-d-une-escroquerie-en-vous-escroquant.html

Des logiciels espions chez Apple: le vol de données est une menace grandissante pour les utilisateurs.

Apple a récemment alerté les utilisateurs d’iPhone dans 98 pays sur la présence de possibles logiciels espions « mercenaires » visant à compromettre leurs appareils. Cette notification fait suite à une alerte similaire émise en avril et s’inscrit dans le cadre de la procédure d’alerte mise en place par la société après l’affaire du logiciel espion Pegasus. Par ailleurs, un hacker nommé « Sp1d3rHunters » a divulgué près de 39 000 billets imprimables pour des événements à venir, dans le cadre d’une campagne d’extorsion contre Ticketmaster. Ce même acteur de la menace a également vendu une base de données appartenant soi-disant au groupe Neiman Marcus, qui aurait été compromise lors d’une opération de vol de données menée sur Snowflake.

Les fuites de données peuvent avoir de graves conséquences. Dans le cas de l’affaire Snowflake, Advance Auto Parts a dû envoyer des notifications de violation de données à plus de 2,3 millions de personnes dont les informations personnelles ont été volées. Les données dérobées comprenaient des noms complets, des numéros de sécurité sociale, des permis de conduire et des numéros d’identité gouvernementaux. Les victimes de telles fuites de données sont exposées à un risque accru de vol d’identité, de fraude et d’autres formes de cybercriminalité.

En somme, les fuites de données et les logiciels espions constituent des menaces croissantes pour la sécurité des utilisateurs et des entreprises. Les conséquences de ces incidents peuvent être dévastatrices, tant pour les individus que pour les organisations concernées.

Sources:
https://www.undernews.fr/alertes-securite/campagne-dextorsion-contre-les-utilisateurs-de-snowflake-sp1d3rhunters-et-ticketmaster.html
https://www.usine-digitale.fr/article/apple-alerte-a-nouveau-les-utilisateurs-d-iphone-sur-un-possible-logiciel-espion.N2216086
https://www.darkreading.com/endpoint-security/apple-warns-iphone-users-in-98-countries-of-more-spyware-attacks
https://www.bleepingcomputer.com/news/security/advance-auto-parts-data-breach-impacts-23-million-people/

La fuite de données d’AT&T : Un avertissement sévère sur l’importance de la sécurité des données

Continuons dans le domaine des fuite de données. AT&T, l’un des principaux fournisseurs de services de télécommunications aux États-Unis, un équivalent de Bouygues Télécom pour la France, a subi une attaque qui a entraîné la fuite de données de presque tous ses clients cellulaires. Les données dérobées comprenaient des enregistrements d’appels téléphoniques et de messages texte entre le 1er mai 2022 et le 31 octobre 2022, ainsi que du 2 janvier 2023. Les enregistrements identifiaient également les autres numéros de téléphone avec lesquels un numéro AT&T a interagi pendant cette période.

Cette fuite de données a des conséquences dramatiques tant pour les utilisateurs que pour l’entreprise. les informations piratées peuvent être utilisées pour trianguler la position approximative d’un utilisateur lors d’un appel ou de l’envoi d’un SMS, exposant ainsi les individus à des risques de sécurité physique et de cyberattaques ciblées.

De plus, il existe souvent des moyens de trouver un nom associé à un numéro de téléphone à l’aide d’outils en ligne accessibles au public, ce qui augmente le risque d’usurpation d’identité et de fraude. AT&T a informé les clients actuels et anciens si leurs informations ont été concernées par cette fuite et les a exhortés à être vigilants face aux tentatives de phishing et de fraude en ligne.

Sources:
https://www.zataz.com/acces-illicite-aux-donnees-clients-sms-et-messages-vocaux/
https://www.darkreading.com/cyberattacks-data-breaches/att-breach-may-also-impact-millions-of-boost-cricket-h2o-customers
https://thehackernews.com/2024/07/at-confirms-data-breach-affecting.html
https://krebsonsecurity.com/2024/07/hackers-steal-phone-sms-records-for-nearly-all-att-customers/

Plus généralement…

Du stress temporaire au mal-être profond : les conséquences psychologiques des cyberattaques

Un aspect souvent négligé lorsque nous évoquons les cybermenaces, mais qui est pourtant primordial pour la réussite d’une remédiation d’incident de cybersécurité, est l’impact psychologique significatif sur les victimes. Cet impact peut aller du stress temporaire à un mal-être profond. Les conséquences peuvent inclure de l’anxiété, de la colère, des troubles du sommeil, des difficultés de concentration et même des symptômes de stress post-traumatique. Les jeunes employés peuvent craindre pour leur carrière, tandis que les employés plus âgés peuvent être submergés par les nouveaux protocoles de sécurité. Les ransomwares, les attaques de phishing et les attaques DDoS ont des effets particulièrement traumatisants.

Les entreprises doivent mettre en place des mesures de prévention pour réduire l’impact des cyberattaques sur la santé mentale de leurs employés. Cela peut inclure des programmes de sensibilisation, une culture du droit à l’erreur, une écoute neutre et bienveillante par des professionnels externes, et l’insertion d’une brique « human impact » dans les plans de gestion de crise. Les RH ont un rôle essentiel à jouer dans la reconnaissance de l’impact des cyberattaques sur la santé mentale des employés et dans la mise en place de mesures de soutien appropriées

Sources:
https://incyber.org/article/cyberattaques-quel-impact-sante-mentale-des-salaries/

NIS2 : Une échéance imminente, mais une préparation insuffisante des États membres

La directive NIS2 de l’UE, qui vise à renforcer la cybersécurité des infrastructures critiques, doit être transposée dans le droit national des États membres d’ici octobre 2024. Cependant, de nombreux pays ne sont pas prêts à respecter cette échéance, et il existe des différences significatives dans la mise en œuvre de la directive. Bien que 80 % des organisations se disent confiantes dans leur capacité à se conformer, seulement 14 % se déclarent actuellement conformes. De plus, de nombreuses organisations manquent de confiance dans leur capacité à comprendre les exigences et signalent une absence de soutien de la part de leur direction.

Le CERT-FR a souligné des failles dans les équipements de sécurité, en particulier ceux présents en bordure de réseau. Les éditeurs de solutions de sécurité ont désormais des obligations en matière de gestion des vulnérabilités en vertu de la directive NIS2, du Cybersecurity Act et du Code de la défense. Le CERT-FR a recommandé aux organisations d’utiliser des solutions certifiées, de s’assurer que les équipements sont correctement maintenus et protégés, et de mettre en œuvre un déport automatisé des journaux.

La directive NIS2 et les évolutions réglementaires soulignent la nécessité pour les organisations de faire de la cybersécurité une priorité stratégique afin de protéger les infrastructures critiques contre les menaces croissantes des acteurs malveillants. Les organisations doivent utiliser le temps dont elles disposent pour se préparer de manière intentionnelle et diligente à la mise en œuvre de la directive NIS2 et à la gestion des vulnérabilités dans leurs équipements de sécurité.

Sources:
https://www.silicon.fr/cert-fr-failles-equipements-securite-480085.html
https://www.silicon.fr/avis-expert/directive-nis2-en-ue-une-echeance-imminente-une-preparation-insuffisante
https://www.solutions-numeriques.com/nis2-decouvrez-les-exigences-techniques-et-methodologiques/

Europol : des résultats concrets dans la lutte contre la cybercriminalité

Les forces de l’ordre européennes ont récemment mené deux opérations majeures contre la cybercriminalité. La première, appelée Endgame, visait à démanteler cinq droppers clés utilisés par les cybercriminels pour accéder aux systèmes informatiques. Un mois après le début de l’opération, les activités des cybercriminels ont été ralenties et certains droppers, comme Pikabot, ont vu leur infrastructure tomber. Cependant, les cybercriminels s’adaptent rapidement et commencent à utiliser d’autres outils, tels qu’EvilProxy, pour mener des attaques plus efficaces et difficiles à détecter.

La deuxième opération, appelée Morpheus, a ciblé les versions anciennes et non autorisées de l’outil de Red team Cobalt Strike. Cet outil populaire dans la sécurité informatique permet de simuler des attaques et d’identifier les faiblesses d’un système d’information. Cependant, entre de mauvaises mains, il peut fournir aux cybercriminels un large éventail de capacités d’attaque. Lors de l’opération Morpheus, 690 adresses IP associées à des activités criminelles ont été signalées à des fournisseurs de services en ligne de 27 pays, ce qui a permis de désactiver de nombreuses versions sans licence de Cobalt Strike.

Ces deux opérations montrent que les forces de l’ordre européennes sont déterminées à lutter contre la cybercriminalité en ciblant les outils et les infrastructures utilisés par les cybercriminels. Cependant, il est important de noter que les cybercriminels s’adaptent rapidement et qu’une coopération internationale et une veille constante sont nécessaires pour lutter efficacement contre ce fléau.

Sources:
https://www.zdnet.fr/actualites/un-mois-apres-endgame-ou-en-sont-les-droppers-vises-par-loperation-policiere-394059.htm
https://www.zdnet.fr/actualites/comment-europol-tente-dentraver-les-cybercriminels-qui-detournent-cobalt-strike-394042.htm
https://incyber.org/article/operation-europol-frappe-utilisations-malveillantes-cobalt-strike/

Pour aller plus loin :

Renforcement des défenses : une nécessité face à l’accélération des attaques par ransomware et des exploitations de vulnérabilités

Les attaques par ransomware évoluent rapidement, avec une augmentation significative de la vitesse d’exfiltration des données. Le gang Akira, par exemple, est maintenant capable de voler des données en seulement deux heures après avoir obtenu un accès initial. Cette tendance est préoccupante pour les organisations, car elle réduit considérablement le temps disponible pour répondre aux compromissions et empêcher le vol de données.

Les cybercriminels exploitent également les vulnérabilités plus rapidement que jamais. Selon un rapport de Cloudflare, les acteurs de la menace peuvent utiliser des exploits PoC (Proof-of-Concept) dans des attaques seulement 22 minutes après leur publication. Cette rapidité d’exploitation rend presque impossible pour les défenseurs de corriger les vulnérabilités à temps.

L’augmentation de la vitesse d’exécution des attaques par ransomware et l’exploitation rapide des vulnérabilités soulignent l’importance de renforcer les défenses et d’adopter une approche de sécurité zero-trust. Les organisations doivent également accorder une attention particulière à la correction des vulnérabilités et à la restriction de l’accès aux ports pour rendre plus difficile l’exfiltration des données.

Sources:
https://www.bleepingcomputer.com/news/security/hackers-use-poc-exploits-in-attacks-22-minutes-after-release/
https://www.darkreading.com/endpoint-security/akira-ransomware-lightning-fast-data-exfiltration-2-hours

HardBit 4.0 : Une évolution inquiétante du paysage des ransomwares

Les chercheurs en cybersécurité ont découvert une nouvelle version du ransomware HardBit, appelée HardBit 4.0, qui utilise des techniques d’obfuscation améliorées pour éviter d’être détectée. Contrairement aux versions précédentes, HardBit 4.0 est doté d’une protection par mot de passe, ce qui rend plus difficile l’analyse du logiciel malveillant par les chercheurs en sécurité.

HardBit est un groupe de cybercriminels motivé financièrement qui utilise des tactiques de double extorsion pour générer des revenus illicites. Il se distingue des autres groupes de ransomware en ce qu’il ne dispose pas de site de fuite de données et met la pression sur les victimes pour qu’elles paient en menaçant de mener des attaques supplémentaires à l’avenir. La principale méthode de communication du groupe se fait via le service de messagerie instantanée Tox.

Les vecteurs d’accès initiaux utilisés par HardBit ne sont pas encore clairs, mais on soupçonne qu’ils impliquent le force brute des services RDP et SMB. Une fois qu’un hôte victime est compromis, le payload du ransomware HardBit est exécuté et effectue plusieurs étapes pour réduire la posture de sécurité de l’hôte avant de chiffrer les données de la victime. HardBit est également conçu pour désactiver Microsoft Defender Antivirus et mettre fin aux processus et services pour éviter d’être détecté et empêcher la récupération du système.

En plus d’être proposé aux opérateurs sous forme de versions en ligne de commande ou d’interface graphique, le ransomware nécessite un identifiant d’autorisation pour être exécuté avec succès. La version d’interface graphique prend également en charge un mode d’effacement pour supprimer définitivement les fichiers et effacer le disque.

Le développement de HardBit 4.0 intervient alors que l’activité des ransomware continue d’augmenter en 2024, avec 962 attaques signalées au premier trimestre, contre 886 attaques l’année précédente. Les familles de ransomware les plus répandues pendant cette période étaient LockBit, Akira et BlackSuit. Selon le rapport d’incident de réponse 2024 de l’unité 42 de Palo Alto Networks, le délai médian entre la compromission et l’exfiltration des données est passé de neuf jours en 2021 à deux jours en 2023, et dans près de la moitié des cas cette année, il était inférieur à 24 heures.

Sources:
https://www.redpacketsecurity.com/new-hardbit-ransomware-4-0-uses-passphrase-protection-to-evade-detection/

Une vulnérabilité critique de PHP exploitée par des acteurs de menaces multiples

La vulnérabilité CVE-2024-4577 dans PHP, récemment divulguée, est activement exploitée par plusieurs groupes de menaces pour livrer des chevaux de Troie d’accès à distance, des mineurs de cryptomonnaie et des botnets DDoS. Cette faille de sécurité critique permet à un attaquant d’exécuter des commandes malveillantes à distance sur les systèmes Windows utilisant les paramètres régionaux chinois et japonais. Akamai a observé des tentatives d’exploitation de cette faille dans les 24 heures suivant sa divulgation, ciblant notamment Gh0st RAT, RedTail, XMRig et le botnet Muhstik. Imperva a également révélé que les acteurs du ransomware TellYouThePass exploitent cette vulnérabilité pour diffuser une variante .NET de leur logiciel malveillant. Les utilisateurs et les organisations utilisant PHP doivent mettre à jour leurs installations vers la dernière version pour se protéger contre ces menaces actives. La réduction constante du temps dont disposent les défenseurs pour se protéger après la divulgation d’une nouvelle vulnérabilité représente un risque de sécurité critique, en particulier pour cette vulnérabilité PHP en raison de sa forte exploitabilité et de son adoption rapide par les acteurs de la menace.

Sources:
https://thehackernews.com/2024/07/php-vulnerability-exploited-to-spread.html