Les secteurs essentiels souvent victimes cyber de "double extorsion"

Zscaler, Inc. (NASDAQ: ZS), leader de la sécurité dans le Cloud, présente les résultats du rapport ransomwares mené par son laboratoire de recherches, ThreatLabZ.

Paris – 17 mai 2021 – Grâce à l’analyse de plus de 150 milliards de transactions réalisées sur la plateforme cloud de Zscaler et 36,5 milliards d’attaques bloquées entre novembre 2019 et janvier 2021, les chercheurs de Zscaler ont pu identifier les principales tendances en matière de ransomware : les grands acteurs du domaine et leurs tactiques, les variantes émergentes de ransomware, leur origine, et la manière de les stopper, ainsi que les industries les plus ciblées.

Le rapport disponible ici souligne également un risque croissant lié aux attaques utilisant la « double extorsion » (les attaquants chiffrent les données, mais les exfiltrent en amont puis menacent l’entreprise de les rendre publiques) et même désormais une  triple extorsion (en ajoutant des attaques DDoS), qui ont pour objectif d’intensifier encore plus la pression sur les victimes.

Deepen Desai, CISO et VP de la recherche en sécurité chez Zscaler déclare : « Au cours des dernières années, la menace des ransomwares est devenue de plus en plus dangereuse, avec de nouvelles méthodes comme la double extorsion et les attaques DDoS qui permettent aux cybercriminels de perturber considérablement les grandes organisations et de nuire durablement à leur réputation. Ces attaques deviennent de plus en plus ciblées par nature, les cybercriminels frappant les organisations avec une plus grande probabilité de paiement de la rançon. Nous avons récemment analysé des attaques dans lesquelles il était clair que les attaquants avaient connaissance d’éléments clés pour la réussite de leur attaque : un contrat de cyberassurance mis en place par la victime ou encore une cartographie précise de la supply chain de l’entreprise, notamment de ses fournisseurs critiques… Il est donc essentiel que les entreprises comprennent mieux le risque que représentent les ransomwares et prennent les précautions nécessaires pour éviter une attaque :  toujours corriger les vulnérabilités, apprendre aux employés à repérer les emails suspects, sauvegarder régulièrement les données, mettre en œuvre une stratégie de prévention des pertes de données et utiliser une architecture Zero Trust pour minimiser la surface d’attaque, empêcher les mouvements latéraux… ».

La double extorsion : la nouvelle méthode privilégiée

Dès fin 2019, le ThreatLabz a observé la tendance des attaques dites de « double-extorsion » dans certaines des familles de ransomware les plus actives et les plus impactantes. Fin 2020, l’équipe a remarqué que cette tactique était encore renforcée par des attaques DDoS synchronisées, surchargeant les sites Web des victimes et exerçant une pression supplémentaire sur les organisations pour qu’elles coopèrent.

Selon le Zscaler ThreatLabZ, de nombreuses industries différentes ont été ciblées au cours des deux dernières années par des attaques de ransomware procédant à une double extorsion. Les industries les plus ciblées sont les suivantes :

  1. Industrie manufacturière (12,7 %)
  2. Services (8,9 %)
  3. Transports (8,8 %)
  4. Commerce de détail et de gros (8,3 %)
  5. Technologie (8 %)

Les ransomware les plus actifs

Au cours de l’année dernière, ThreatLabz a identifié sept « familles » de ransomware particulièrement actives et a analysé les origines et les tactiques :

  • Maze : Initialement rencontré en mai 2019, Maze était le ransomware le plus couramment utilisé pour les attaques à double extorsion (représentant 273 incidents) jusqu’à ce qu’il ait apparemment cessé ses activités en novembre 2020. Les attaquants ont utilisé des campagnes de spam, des kits d’exploitation tels que Fallout et Spelevo, et des services RDP piratés pour accéder aux systèmes et ont réussi à collecter d’importantes rançons après avoir chiffré et volé des fichiers dans des entreprises informatiques et technologiques. Les trois principaux secteurs ciblés par Maze sont la haute-technologie (11,9 %), l’industrie manufacturière (10,7 %) et les services (9,6 %). Maze s’est notamment engagé à ne pas cibler les entreprises de santé pendant la pandémie COVID-19.
  • Conti : Repéré pour la première fois en février 2020 et deuxième famille d’attaques la plus courante avec 190 attaques, Conti partage le code avec le ransomware Ryuk et semble être son successeur. Conti utilise l’API du gestionnaire de redémarrage de Windows avant de chiffrer les fichiers, ce qui lui permet de chiffrer davantage de fichiers dans le cadre de son approche de double extorsion. Les victimes qui ne veulent pas ou ne peuvent pas payer la rançon voient leurs données régulièrement publiées sur le site Web de Conti consacré aux fuites de données. Les trois secteurs les plus touchés sont l’industrie manufacturière (12,4 %), les services (9,6 %) et les services de transport (9,0 %).
  • Doppelpaymer : Remarqué pour la première fois en juillet 2019, avec 153 attaques documentées, Doppelpaymer cible un éventail d’industries et demande souvent des paiements importants – les montants vont de six et sept chiffres. Infectant initialement les machines avec un courriel de spam contenant un lien ou une pièce jointe malveillante, Doppelpaymer télécharge ensuite les logiciels malveillants Emotet et Dridex dans les systèmes infectés. Les trois organisations les plus ciblées par Doppelpaymer sont actives dans l’industrie manufacturière (15,1 %), le commerce de détail et de gros (9,9 %) et les administrations publiques (8,6 %).
  • Sodinokibi : Également connu sous le nom de REvil et Sodin, Sodinokibi a été repéré pour la première fois en avril 2019, et a été rencontré avec une fréquence croissante avec 125 attaques. Comme Maze, Sodinokibi utilise des courriels de spam, des kits d’exploitation et des comptes RDP compromis, et exploite fréquemment des vulnérabilités dans Oracle WebLogic. Sodinokibi a commencé à utiliser des tactiques de double extorsion en janvier 2020, et a eu le plus grand impact sur le transport (11,4 %), la fabrication (11,4 %) et le commerce de détail/de gros (10,6 %).
  • Avaddon : Avaddon a été repéré pour la première fois en juin 2020 et utilise généralement de vastes campagnes de spam comme méthode d’infection privilégiée. Il utilise des indices d’ingénierie sociale, tels que des emails simples avec le contenu : « Regardez cette photo ! ». Avaddon cible une variété d’industries, mais il cible particulièrement des organismes gouvernementaux (12,5 %), des entreprises de haute-technologie (9,4 %), et les services financiers à égalité avec les services aux consommateurs à 9,4 %.
  • RagnarLocker : RagnarLocker a acquis une certaine notoriété en avril 2020 lorsqu’il a été utilisé pour extorquer une rançon de 11 millions de dollars à une entreprise dont le nom n’a finalement jamais filtré. Visant principalement les entreprises manufacturières et technologiques, ce ransomware déploie un malware à l’intérieur d’une machine virtuelle Oracle VirtualBox Windows XP pour échapper à la détection. En exécutant le programme dans une machine virtuelle, le ransomware peut accéder à volonté aux disques locaux, aux réseaux mappés et aux disques amovibles des hôtes. Les secteurs les plus touchés par RagnarLocker sont l’industrie manufacturière (22,7 %) et les entreprises de hautes technologies (13,6 %), suivis par le commerce de détail et de gros, l’industrie pharmaceutique, la construction et le secteur juridique, qui représentent tous 9,1 % du total des attaques.
  • DarkSide : DarkSide a été repéré pour la première fois en août 2020 après avoir publié un communiqué de presse annonçant ses services. Utilisant un modèle de « Ransomware-as-a-Service », DarkSide déploie des méthodes de double extorsion pour voler et chiffrer des informations. Le groupe communique largement sur ses cible et explique sur son site web ne pas attaquer pas les organisations de santé, les services funéraires, les établissements d’enseignement, les organisations à but non lucratif ou les entités gouvernementales. Les cibles de prédilection sont plutôt les services (16,7 %), l’industrie manufacturière (13,9 %) et les services de transport (13,9 %). Comme pour Conti, ceux qui ne peuvent pas payer la rançon voient leurs données publiées sur le site DarkSide leak.

by Laëtitia Berché

Payer la rançon : le meilleur moyen d’être attaqué une seconde fois

Très ciblées par les ransomwares (70% d’entreprises touchées au cours des 24 derniers mois), les entreprises françaises payent finalement peu les rançons : environ 45% ont fini par céder au chantage (contre 83% aux US et environ 60% au niveau mondial).

60% des entreprises françaises ayant payé la rançon ont été ciblées une 2ème fois consécutive (80% au niveau mondial) : Payer la rançon est loin de régler le problème…

Paris – 16 juin 2021 – Cybereason, le leader de la protection proactive des cyberattaques, publie les résultats d’une étude mondiale sur le ransomware. L’étude a été menée en avril 2021 auprès de 1263 professionnels de la sécurité (aux États-Unis, en Allemagne, Espagne, Royaume-Uni, à Singapour et aux Émirats Arabes Unis, et comptant 150 professionnels français).

D’après l’étude, la moitié des organisations interrogées au niveau mondial ont été victimes d’un ransomware lors des deux dernières années. L’étude démontre surtout que payer la rançon n’est pas la meilleure voie à suivre, pour deux raisons :

  • Dans la très grande majorité des cas, les entreprises ayant payé ont été attaquées une seconde fois : c’est le cas pour 60% des entreprises en France et 80% dans le monde.
  • Dans de nombreux cas les données ont tout de même été compromises, malgré le paiement : 53% des entreprises françaises estiment que leurs données ont été compromises/exfiltrées donc restent exposées, malgré le paiement de la rançon (45% au niveau mondial).

« Le paiement d’une rançon ne garantit en effet pas une reprise réussie. Et surtout cela ne fait qu’exacerber le problème en encourageant de nouvelles attaques. Il faut encourager les entreprises à prendre les devants sur la menace en sensibilisant et en s’équipant en solutions de sécurité axée sur la prévention » déclare Lior Div, directeur général et cofondateur de Cybereason.

Les 3 pays les plus ciblés par les ransomwares sont ceux qui payent le moins

  • Avec 70% d’entreprises ciblées au cours des 24 derniers mois, la France est bien plus ciblée par les ransomwares que les États-Unis par exemple, où environ 30% des entreprises ont dû affronter ces acteurs malveillants. L’Espagne (72%) et l’Allemagne (70%) sont les deux autres nations analysées dans le cadre de l’étude ayant été les plus ciblées.
  • En revanche, contrairement aux idées reçues, les pays les plus ciblés ne sont pas forcément ceux qui payent le plus : plus de 80% des entreprises américaines ont déclaré avoir accepté de payer la rançon, plus de 73% au Royaume-Uni, alors qu’elles sont moins de 50% en France (environ 43% en Espagne et 40% en Allemagne).

Les entreprises victimes de cyberattaque subissent des conséquences sur le long terme

  • 39% des organisations françaises ont fait état d’une perte significative de revenus à la suite d’une attaque par ransomware. Elles sont 44% au niveau mondial.
  • En France, 19% des organisations ont déclaré la démission de cadres dirigeants suite à une attaque (45% au Royaume-Unis et 50% aux Émirats arabes unis)
  • Pire, 22% des entreprises attaquées par rançongiciel ont été contraintes de cesser leur activité (c’est environ 26% au niveau mondial).

 

Le rapport complet mis à disposition de la presse par Cybereason révèle également dans quelles mesures les pertes subies par l’entreprise peuvent être couvertes par une cyberassurance, dans quelles mesures les organisations sont préparées à faire face aux menaces de ransomware avec des politiques de sécurité et des ressources adaptées, et des informations plus détaillées sur l’impact des attaques par ransomware par région, taille d’entreprise et secteur vertical.

En outre, le rapport fournit des données exploitables sur les types de solutions de sécurité que les organisations avaient en place avant une attaque, ainsi que sur les solutions les plus souvent mises en œuvre par les organisations après avoir subi une attaque par ransomware.

by Laëtitia Berché

MSP : la réponse unifiée de détection et de rémédiation de Vade

La nouvelle fonction intégrée de Vade for M365 simplifie la sécurité managée pour les MSP, sans frais supplémentaires.

Paris – 16 juin  2021 – Vade, pionnier de la protection proactive des emails assurant la défense d’un milliard de boîtes mails dans le monde, annonce la sortie de MSP Response, un outil unifié de gestion des menaces et réponse aux incidents pour Vade for M365, et ce, après avoir procédé à un rebranding complet. Conçu spécifiquement pour les MSP, MSP Response permet à ces derniers de proposer des services de sécurité managés évolutifs et lucratifs, sans engager de frais supplémentaires.

Ce produit prend la forme d’un tableau de bord du Portail Partenaire Vade qui permet de réunir l’ensemble des tenants Microsoft 365 au sein d’un même emplacement. À la différence des autres solutions, MSP Response associe détection des menaces et réponse aux incidents en regroupant les journaux d’emails et en proposant une remédiation en un seul clic. Il permet ainsi de détecter et d’éliminer rapidement les menaces de messagerie innovantes et émergentes en toute simplicité.

Vade for M365 simplifie la sécurité managée pour les MSP

Ce produit prend la forme d’un tableau de bord du Portail Partenaire Vade qui permet de réunir l’ensemble des tenants Microsoft 365 au sein d’un même emplacement. À la différence des autres solutions, MSP Response associe détection des menaces et réponse aux incidents en regroupant les journaux d’emails et en proposant une remédiation en un seul clic. Il permet ainsi de détecter et d’éliminer rapidement les menaces de messagerie innovantes et émergentes en toute simplicité.

Vade a fait de la réussite de ses partenaires la pierre angulaire de sa stratégie produit

« La nouvelle fonctionnalité de Vade donnera aux MSP une vision globale de la cybersécurité à travers toute leur clientèle. Cela leur permettra également de gagner du temps et de l’argent, tout en contribuant à faire progresser leur offre de services de sécurité managée. » explique Daniel Warelow, Chef de Produit chez Giacom.

60 % des personnes interrogées lors d’une étude récente menée par des analystes estiment que l’accélération de la migration vers le cloud public générée par la pandémie de COVID-19 les a poussées à investir dans des services de sécurité managés. Vade a fait de la réussite de ses partenaires la pierre angulaire de sa stratégie produit. C’est dans cette optique que la société a imaginé MSP Response, un outil pensé pour offrir une expérience simple aux MSP, alors que la demande pour des services de sécurité managés ne cesse de grandir.

« Nous sommes très heureux d’étendre encore davantage nos horizons en aidant les MSP à simplifier la fourniture de services de sécurité gérés, un processus souvent chronophage et complexe », explique Adrien Gendre, Chief Product & Services Officer de Vade. « Les MSP mettent tout en œuvre pour proposer de la valeur à leurs clients finaux, et nous sommes fiers de les aider à y parvenir avec MSP Response. »

by Laëtitia Berché

Threat hunting : quels leviers pour une réelle efficacité ?

Le threat hunting est une technique dont l’adoption s’est généralisée ces dernières années, mais dont la définition reste sujette à controverse. Le threat hunting consiste à déceler les activités anormales au sein d’un environnement IT, à dépasser les technologies de détection traditionnelles grâce à une cyberdéfense active, à fouiller les réseaux de façon proactive et itérative afin d’y détecter et d’isoler les cybermenaces avancées qui échappent aux solutions de sécurité existantes.

Élément essentiel des services SOC (Security Operations Center), le threat hunting doit être intégré à un stade précoce. Même si les entreprises utilisent cette technique depuis plusieurs années, son adoption et son utilisation continuent de faire l’objet de débats animés. La définition même du rôle du « threat hunter » (chasseur de menaces) n’a été adoptée que depuis cinq ou six ans. Au travers de l’enquête Threat Hunting Survey 2020 du SANS Institute, ThreatQuotient tente de mieux comprendre l’usage du threat hunting par les entreprises et les bénéfices qu’elles en retirent.

Le threat hunting utilisé à des fins de conformité

Différentes méthodes peuvent être mises à profit par les entreprises pour implémenter des stratégies de threat hunting afin de démasquer les activités malveillantes. Selon l’enquête SANS, certaines entreprises déterminent quel doit être le mode de fonctionnement de leur stratégie de threat hunting et constituent ensuite des équipes afin d’atteindre les objectifs visés. Malheureusement, d’autres, encore très nombreuses, lancent des opérations de threat hunting avec les ressources déjà en place. Au lieu de se fixer des objectifs permettant de tirer le meilleur parti de leur stratégie de threat hunting, elles se contentent d’en faire une simple tâche de plus pour les équipes existantes. Si cette approche donne certains résultats, elle n’est pas aussi performante qu’elle le pourrait et ne permet pas de renforcer suffisamment le niveau de sécurité de l’entreprise. Cette approche est souvent utilisée par les entreprises IT afin de se conformer à certaines normes exigeant la mise en place d’une fonction de threat hunting.

Le threat hunting renforce la protection de l’entreprise

Fait intéressant, le récent rapport Global Threat Report 2020 de VMware Carbon Black, pour lequel plus de 3 000 responsables IT de 13 pays ont été interrogés, montre que des équipes dédiées au threat hunting commencent à formaliser leurs processus et procédures, et que cette tendance s’étend progressivement à l’ensemble du secteur. 80 % des répondants indiquent que les attaques sont de plus en plus sophistiquées. Ils déclarent également sans équivoque que le threat hunting donne des résultats remarquables et que sa capacité à détecter les cybercriminels déjà présents dans le système est de plus en plus reconnue. À la question « Au cours des 12 derniers mois, la fonction de threat hunting de votre entreprise a-t-elle permis de renforcer vos défenses contre les cyberattaques et d’identifier une activité malveillante qui serait autrement passée entre les mailles du filet ? », 88 % des personnes interrogées ont répondu que cette fonction, utilisée dans le cadre de leur stratégie de cybersécurité, s’est avérée efficace, tandis que 86 % ont déclaré qu’elle a renforcé les défenses de leur entreprise.

Threat hunting ou réponse à incident

Le rapport SANS montre également que de nombreuses entreprises intègrent les activités de threat hunting dans leur stratégie de réponse à incident. Ces deux activités présentent indubitablement des points communs et des différences. Le threat hunting existe sous différentes formes, la plus sophistiquée étant la traque basée sur des hypothèses. Dans ce cas, le « chasseur » imagine un scénario d’attaque pouvant cibler l’entreprise. À partir de ce scénario, une hypothèse est élaborée, puis testée. Pour tester cette hypothèse, il est essentiel de parfaitement maîtriser la voie susceptible d’être empruntée par l’attaque, ainsi que de disposer des outils et de la visibilité permettant d’accepter ou de rejeter l’hypothèse.

Les intervenants sur incident, quant à eux, lancent une investigation après la survenue d’une attaque et disposent d’informations limitées sur la voie empruntée. Ils peuvent ainsi renforcer leurs connaissances concernant l’attaque et améliorer leur visibilité pour la poursuite de l’enquête. Les outils et techniques utilisés dans le cadre de ces deux approches se recoupent en grande partie. C’est pourquoi il peut être intéressant de faire appel à des intervenants sur incident pour mettre sur pied des activités de threat hunting. Il convient néanmoins de passer progressivement d’une simple approche de réponse à incident à une stratégie dédiée de threat hunting.

L'absence d'automatisation nuit à l’efficacité

Le rapport identifie également d’importantes lacunes dans l’utilisation des outils automatisés pour faciliter la conservation de renseignements utiles et exploitables sur les menaces. Il précise également que la plupart des threat hunters n’exercent pas cette activité à plein temps, mais assument également d’autres responsabilités. Le recours à des intervenants sur incident et à des analystes de SOC pour constituer l’équipe de threat hunting est également en plein essor. Si les premiers ont l’habitude d’identifier les menaces émergentes et inconnues, les seconds peuvent éprouver quelques difficultés à passer de l’analyse des alertes à la recherche active de signes de compromission.

Selon le rapport, les fréquents changements de contexte constituent le pire cauchemar des threat hunters. En effet, seul un petit nombre de répondants ont déclaré n’avoir jamais besoin de changer d’outil pour effectuer leur travail. La limitation des changements d’applications offre donc de réelles perspectives d’amélioration de l’efficacité. Un pourcentage élevé de répondants (36,3 %) déclare appliquer manuellement les renseignements sur les menaces collectés, ce qui limite l’efficacité de l’opération. En effet, près de la moitié des personnes interrogées ne stockent pas ces renseignements sur une plateforme et optent pour des méthodes traditionnelles de stockage dans des fichiers, tels que des feuilles de calcul ou des fichiers PDF.

Parvenir à un consensus sur le threat hunting

On peut s’étonner que la moitié des personnes interrogées aient déclaré ne pas comprendre l’intérêt de traquer les menaces émergentes ou inconnues, car l’identification des menaces inconnues est l’un des principaux arguments du threat hunting, tandis que la gestion des menaces quotidiennes peut être assurée par les SOC.

Pour résumer et prolonger la réflexion, nous devons parvenir à un consensus sur le concept de threat hunting, améliorer les outils qui réduisent les changements de contexte, automatiser le processus et faciliter la mesure du threat hunting. Pour la plupart des personnes interrogées, la solution de facilité consiste à passer d’une gestion sur documents à une gestion sur une plateforme open source ou commerciale des renseignements sur les menaces afin de faciliter leur utilisation, leur évolutivité et leur application.

Yann Le Borgne, directeur technique Europe ThreatQuotient

by Laëtitia Berché

64 % des entreprises adoptent ou prévoient d’adopter la technologie SASE en 2022

Etude Versa Networks – Avec la modification de l’organisation du travail durant le confinement, 9 entreprises sur 10 ont revu leur stratégie de connectivité à distance.

Paris, le 21 juin 2021 – Selon une étude mondiale réalisée à la demande de Versa Networks, le confinement imposé par la pandémie a fait grimper en flèche l’adoption du SASE (Secure Access Service Edge) par les entreprises. 34 % d’entre elles disent avoir déployé la technologie SASE l’année dernière, et 30 % prévoient de le faire au cours des six à douze prochains mois. Cependant, malgré cette adoption rapide de la technologie SASE, la majorité (69 %) des professionnels de l’informatique et de la sécurité ne savent toujours pas ce qu’elle signifie vraiment.

Menée par Sapio Research auprès de 500 décideurs en sécurité et en informatique travaillant au sein de grandes et moyennes entreprises aux États-Unis, au Royaume-Uni, en France et en Allemagne, l’étude révèle que 84 % des entreprises ont accéléré leur transformation numérique et leur migration vers le Cloud durant la pandémie. Près de la moitié (44 %) pensent en outre que leurs employés poursuivront le télétravail, à temps plein ou partiel, après la levée des restrictions liées à la pandémie.

Les enseignements tirés de la pandémie ont favorisé l’adoption du SASE, une technologie conçue pour offrir une sécurité transparente, ainsi qu’une connectivité fiable et performante, sur les réseaux Cloud, hybrides et locaux. Les résultats de l’enquête montrent que les équipes chargées de l’informatique et de la sécurité ont reçu de nombreuses doléances de la part des employés. Plus d’un tiers (36 %) d’entre eux se sont plaints de pertes de connexion lors de l’utilisation d’applications gourmandes en bande passante telles que la vidéoconférence, et d’autres ont souffert du manque d’assistance technique en temps réel (31 %). Une multitude de problèmes de sécurité se sont posés, notamment l’incapacité à appliquer des politiques de sécurité à l’ensemble des télétravailleurs (37 %) ou à détecter les nouvelles menaces qui pèsent sur les utilisateurs (34 %).

Pour pallier l’inefficacité des politiques de sécurité et la connectivité défaillante, les entreprises se tournent vers le SASE, près de 9 sur 10 (soit 87 %) ayant revu leur stratégie de connectivité à distance depuis un an. Parmi les méthodes de connexion privilégiées, le SASE devance les VPN, 34 % des entreprises ayant déployé la technologie SASE, et 23 % des VPN.

Cependant, malgré sa popularité, le SASE reste mal compris par la majorité des professionnels de l’informatique et de la sécurité. À peine 31 % des personnes interrogées ont reconnu la bonne définition du SASE, à savoir « la convergence des services de réseau et de sécurité (CASB, FWaaS, Zero Trust, etc.) en un seul modèle de services Cloud natifs ». Malgré cette confusion, le principal motif d’adoption du SASE est clair : améliorer la sécurité des appareils et des applications utilisés par les télétravailleurs, selon 43 % des personnes interrogées. Arrivent ensuite la volonté de donner la priorité aux performances et à la fourniture d’applications stratégiques dans le Cloud (31 %) et la nécessité de prendre en charge davantage de télétravailleurs (31 %).

L’étude met en avant d’autres résultats intéressants

  • Lorsqu’elles adoptent le SASE, neuf entreprises sur dix placent la sécurité avant la visibilité et le contrôle, la bande passante et la connectivité, ou l’expérience des utilisateurs.
  • Si la sécurité constitue le principal critère d’adoption du SASE, trois entreprises sur cinq estiment que la responsabilité de sa mise en œuvre incombe à l’équipe informatique.
  • Le département informatique est le plus susceptible de déplorer le manque de fiabilité de la connectivité, loin devant tous les autres services (49 %).
  • Selon 36 % des personnes interrogées, les applications de vidéoconférence et de collaboration sont celles qui ont posé le plus de difficultés en termes de prévisibilité des performances et de fiabilité.

D’après Michael Wood, directeur du marketing chez Versa Networks : « L’enquête donne une image claire des pressions et des défis auxquels les équipes chargées de l’informatique et de la sécurité ont dû faire face durant la pandémie. Si l’enquête montre qu’il reste encore du chemin à parcourir avant que les professionnels de l’informatique et de la sécurité ne comprennent la véritable signification du SASE, la nécessité de résoudre les problèmes de sécurité et de connectivité à distance a conduit les entreprises à délaisser les anciennes technologies VPN, criblées de failles de sécurité, au profit du SASE, un modèle qui leur permet de mieux appréhender l’avenir. Si le SASE s’est révélé très utile pendant le confinement, il constituera également un atout majeur lors du retour au bureau des employés et du passage à un mode de travail hybride. »

“L’organisation mondiale du travail a été bouleversée. Les entreprises qui ont été prises au dépourvu par le télétravail au début du confinement investissent désormais dans des solutions à long terme permettant de travailler à distance de manière performante et sécurisée. Doté d’un haut niveau de flexibilité et d’évolutivité, le modèle SASE est idéal pour répondre à ce besoin. En France, nous avons une demande croissante des services SASE (RFx) dopé par le besoin de déployer SDWAN” complète Hector Avalos, responsable EMEA chez Versa Networks.

L’enquête mondiale a été menée auprès de 501 décideurs en matière de sécurité informatique et de réseaux informatiques aux États-Unis, au Royaume-Uni, en Allemagne et en France. Les entretiens ont été réalisés en ligne par le cabinet Sapio Research en mai 2021 via un e-mail d’invitation et une enquête en ligne.

by Laëtitia Berché

Fuites de données : + 19% de personnes touchées en 2020

Décryptant les tendances de fond observées sur le risque de violation de données, le Baromètre Data Breach est animé par le Forum International de la Cybersécurité (FIC) en partenariat avec le cabinet de conseil et d’audit PwC France et Maghreb, le courtier en assurances Bessé et avec la participation de la CNIL.

Les principaux enseignements du Baromètre Data Breach 2021

  • En 2020, le nombre de violations de données est passé de 4,5 à 7 par jour en un an et demi
  • Hausse de plus de 19% du nombre de personnes touchées par une fuite de données, passant à plus d’1 million au premier semestre
  • Le top 5 des secteurs d’activité les plus touchés par la fuite de données : Administration publique ; Activités scientifiques & techniques ; Finances & Assurances ; Santé ; Information & Communication
  • Les fuites de données pour raison accidentelle ont augmenté de 7%. L’erreur humaine est une des principales causes.
  • Les actes de malveillance restent la première cause des violations de données mais sont en léger recul (-2%)
  • Le nombre d’interventions de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) à la suite d’attaques en rançongiciels a progressé de 92%

Le Baromètre Data Breach 2021 inclut également

  • Le retour d’expérience de la Région Grand Est sur une cyberattaque par rançongiciel : impacts et clés pour s’en prémunir
  • Un bilan à 3 ans du Règlement Général sur la Protection des Données (RGPD)
  • Un panorama de la législation de la protection des données dans le monde et la maturité des différents états dans la lutte contre la cybercriminalité

« Un bon niveau de prévention nécessite la coopération de plusieurs fonctions de l’entreprise et une prise de conscience des risques face à une cybercriminalité qui s’est fortement professionnalisée et structurée », commente Sandrine Cullaffroz-Jover, Associée en charge du droit des activités numériques chez PwC Société d’Avocats.

La résilience organisationnelle est donc devenue un outil de pilotage clé pour lutter contre la cybercriminalité et limiter ses impacts à court, moyen et long terme. À ce titre, la valorisation financière des vulnérabilités de chaque organisation doit représenter un avantage compétitif d’autant plus qu’elles sont assurables. Christophe Madec, expert Cyber, Bessé, conclut : « Les risques liés à une compromission de données et en particulier les fuites de données personnelles rentrent dans le champ des polices d’assurance Cyber ».

by Laëtitia Berché

Les solutions anti-malware traditionnelles passent à côté de près de 75 % des cybermenaces

Cette nouvelle version du rapport sur la sécurité Internet de WatchGuard met en évidence des volumes record de malwares de type « Zero-Day », une hausse des attaques réseau, les principales attaques de malwares survenues au dernier trimestre, et plus encore.

Paris, le 24 juin 2021 – WatchGuard® Technologies, leader mondial dans le domaine de la sécurité et l’intelligence réseau, de l’authentification multifacteur (MFA), de la protection avancée des endpoints et du Wi-Fi sécurisé, publie aujourd’hui son rapport sur la sécurité Internet pour le 1er trimestre 2021. D’après les principales conclusions de l’étude, 74 % des menaces détectées au dernier trimestre étaient des malwares de type Zero-Day, autrement dit des menaces qui, au moment de leur diffusion, n’ont pas été identifiées par les solutions antivirus classiques basées sur la signature et ont donc pu les contourner.

Le rapport se penche également sur l’augmentation du nombre d’attaques réseau, la manière dont les cybercriminels tentent de maquiller et de recycler d’anciens exploits, les principales attaques de malwares au dernier trimestre, etc.

Corey Nachreiner, directeur de la sécurité chez WatchGuard explique : « Au dernier trimestre, les détections de malwares de type Zero-Day ont atteint un niveau sans précédent. Les malwares évasifs ont en fait éclipsé les menaces traditionnelles. Un signe de plus que les entreprises ont tout intérêt à faire évoluer leurs défenses si elles veulent garder une longueur d’avance sur des cybercriminels aux méthodes de plus en plus sophistiquées. Les solutions anti-malware traditionnelles ne font pas le poids face aux menaces actuelles. Chaque entreprise a besoin d’une stratégie de sécurité proactive et multiniveau s’appuyant sur l’apprentissage automatique et l’analyse comportementale pour détecter et bloquer les menaces nouvelles et avancées ».   

Autres résultats clés

  • Une variante de malware sans fichier gagne en popularité : JSLoader est une charge utile malveillante qui fait pour la première fois son apparition dans le classement WatchGuard des malwares les plus importants en termes de volume et dans celui des malwares les plus répandus. C’est aussi la variante la plus souvent détectée par WatchGuard via l’inspection HTTPS au 1er trimestre. L’échantillon identifié par WatchGuard utilise une attaque XXE (XML External Entity) pour ouvrir un shell et exécuter des commandes afin de contourner la politique d’exécution locale de PowerShell. L’attaque s’exécute de manière non interactive, à l’insu de l’utilisateur ou de la victime. Il s’agit d’un autre exemple de la prévalence croissante des malwares sans fichier, qui confirme la nécessité de mettre en place des fonctions avancées de détection et de réponse aux menaces sur les endpoints.
  • Une simple astuce au niveau du nom de fichier permet aux pirates de faire passer un chargeur de ransomware pour un PDF légitime en pièce jointe : le chargeur de ransomware Zmutzy se classe parmi les deux principales variantes de malwares chiffrés en termes de volume au 1er trimestre. Associée au ransomware Nibiru, cette menace se propage par le biais d’un fichier zippé joint à un e-mail ou d’un téléchargement depuis un site Web malveillant. L’exécution du fichier zip télécharge un exécutable qui se présente comme un PDF tout à fait légitime aux yeux de la victime. Les attaquants ont remplacé le point par une virgule dans le nom de fichier et ont modifié manuellement l’icône pour faire passer le fichier zip malveillant pour un PDF. Ce type d’attaque montre à quel point il est important de sensibiliser et de former les utilisateurs au phishing, mais aussi de mettre en œuvre des solutions de sauvegarde pour le cas où une variante telle que celle-ci provoquerait une infection par ransomware.
  • Les cybercriminels poursuivent leurs attaques contre les appareils IoT : bien qu’elle ne figure pas dans la liste WatchGuard des 10 principaux malwares au 1er trimestre, la variante Linux.Ngioweb.B a récemment été utilisée par des cybercriminels pour cibler les appareils IoT. La première version de cette menace visait les serveurs Linux exécutant WordPress et se présentait initialement sous forme de fichier EFL (Extended Format Language). Une autre version de ce malware transforme les appareils IoT en botnet avec des serveurs de commande et de contrôle tournants.
  • Les attaques réseau bondissent de plus de 20 % : les appliances WatchGuard ont détecté plus de 4 millions d’attaques réseau, soit une progression de 21 % par rapport au trimestre précédent et le volume le plus élevé depuis le début de l’année 2018. Malgré le passage au travail à distance et hybride, les serveurs et les actifs d’entreprise sur site restent des cibles de grande valeur pour les cybercriminels. Les entreprises doivent par conséquent maintenir la sécurité du périmètre parallèlement aux protections axées sur l’utilisateur.
  • Une ancienne technique d’attaque par traversée de répertoire fait son retour : au 1er trimestre, WatchGuard a identifié une nouvelle signature de menace liée à une attaque par traversée de répertoire via des fichiers CAB (cabinet), un format d’archivage Microsoft avec compression des données sans perte et certificats numériques intégrés. Cet exploit vient s’ajouter au palmarès WatchGuard des 10 principales attaques réseau. Il incite les utilisateurs à ouvrir un fichier CAB malveillant au moyen de techniques classiques ou en usurpant une imprimante connectée au réseau pour les inviter à installer un pilote d’imprimante via un fichier CAB compromis.
  • Les menaces Zero-Day HAFNIUM fournissent des renseignements sur les tactiques de menace et les meilleures pratiques de réponse : le trimestre dernier, Microsoft a signalé l’exploitation de quatre vulnérabilités HAFNIUM dans diverses versions d’Exchange Server. Le but des pirates : l’exécution complète et non authentifiée de code à distance et un accès arbitraire en écriture aux fichiers sur tout serveur dépourvu de correctifs exposé à Internet, ce qui est le cas de la plupart des serveurs de messagerie. L’analyse des incidents réalisée par WatchGuard examine en détail les vulnérabilités et souligne l’importance de l’inspection HTTPS, de l’application rapide de correctifs et du remplacement des anciens systèmes.
  • Les cybercriminels détournent des domaines légitimes lors de campagnes de cryptominage : au 1er trimestre, le service DNSWatch de WatchGuard a bloqué plusieurs domaines compromis et malveillants associés à des menaces de cryptominage. Les malwares de cryptominage sont de plus en plus populaires en raison de la récente flambée des prix sur le marché des cryptomonnaies et de la facilité avec laquelle les cybercriminels peuvent siphonner les ressources de victimes peu méfiantes.

Les rapports trimestriels de WatchGuard s’appuient sur les données anonymisées du « Firebox Feed » provenant d’appliances Firebox WatchGuard en service dont les propriétaires ont accepté de partager les informations afin de soutenir les efforts de recherche du Threat Lab. Au 1er trimestre, WatchGuard a bloqué en tout plus de 17,2 millions de variantes de malwares (461 par appliance) et près de 4,2 millions de menaces réseau (113 par appliance). Le rapport complet fournit des informations sur d’autres tendances en matière de malwares et de réseau au 1er trimestre 2021, ainsi qu’une analyse détaillée des exploits HAFNIUM visant Microsoft Exchange Server, des conseils de défense majeurs, entre autres.

by Laëtitia Berché

Deep Instinct : Rodolphe Moreno prend les commande de L'Europe du Sud

Avec l’arrivée de Guillaume Maguet, Rodolphe Moreno est entouré d’une équipe de 4 personnes pour couvrir le marché français et souhaite doubler les effectifs d’ici la fin de l’année.

Paris, le 17 mai 2021 –  Deep Instinct, première entreprise à appliquer le Deep Learning à la cybersécurité, annonce la nomination de Rodolphe Moreno au poste de Directeur de la région Europe du Sud.

Fort d’une expérience de 25 ans dans la sécurité informatique et les réseaux, Rodolphe Moreno a auparavant exercé des fonctions similaires au sein de plusieurs éditeurs de solutions cybersécurité et réseaux tels que VMWare, AVI Networks, Infoblox et NTT. Ces postes lui ont notamment permis de développer de solides relations avec les utilisateurs finaux et une véritable expertise des ventes avec des grandes entreprises et fournisseurs de services en Europe du Sud (France, Espagne, Portugal, Italie, Grèce, dans les pays africains francophones et en Israël).

Rodolphe Moreno, Directeur de l’Europe du Sud de Deep Instinct : « Je suis très heureux d’avoir rejoint l’équipe de Deep Instinct en janvier 2021. Au lendemain de l’annonce de la nouvelle levée de fonds de 100 millions de dollars, les enjeux de Deep Instinct sont immenses. Mon objectif est de tout mettre en œuvre pour déployer une stratégie de développement rapide et efficace en Europe du Sud. »

Depuis l’arrivée de Guillaume Maguet (expert de la sécurité du Endpoint avec 15 ans d’expériences), en février 2021, au poste de Senior Sales Engineer, Rodolphe Moreno est entouré d’une équipe de 4 personnes pour couvrir le marché français et souhaite doubler les effectifs d’ici la fin de l’année. Il a également pour mission de recruter et animer le réseau de partenaires et d’intégrateurs de Deep Instinct.

« L’expertise de Rodolphe Moreno va nous permettre de développer la notoriété et le business de Deep Instinct en Europe du Sud. Grâce à ses nombreuses expériences, et sa parfaite maîtrise des marchés français et du Sud de l’Europe, il pourra accompagner nos clients et partenaires vers leurs premiers pas dans le deep learning dédié à la cybersécurité. » conclut Brooks Wallace, VP Sales EMEA.

Deep Instinct assure actuellement la sécurité de clients situés en Amérique du Nord, en Europe et dans la région Asie-Pacifique. Le nombre d’entreprises clientes a triplé en un an, et des contrats stratégiques ont été signés avec plusieurs entreprises du Global 2000 au premier trimestre 2021.

by Laëtitia Berché

Malwares : le trojan bancaire IcedID entre à la 2ème place

Après avoir exploité la pandémie de la COVID-19 pour attirer de nouvelles victimes, IcedID fait son entrée dans le classement de Check Point Research
En France, IcediD (86%), Qbot (72%) et Dridex (50%) sont les malwares ayant principalement sévi en mars 2021

Paris – 14 avril 2021 – Check Point Research (CPR), la branche de renseignement sur les menaces de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), l’un des principaux fournisseurs de solutions de cybersécurité dans le monde a publié son Classement de menace globale de mars 2021. Les chercheurs signalent que le Trojan IcedID est entré dans le classement pour la première fois, prenant la deuxième place, tandis que Dridex, lui bien établi, est le malware le plus répandu en mars, alors qu’il se situait a la septième place en février.

Apparu pour la première fois en 2017, IcedID s’est propagé rapidement en mars via plusieurs campagnes de spam, touchant 11 % des entreprises dans le monde. Une campagne de grande ampleur s’est servi d’un sujet lié à la COVID-19 pour inciter les nouvelles victimes à ouvrir des pièces jointes malveillantes. La majorité de ces pièces jointes étaient des documents Microsoft Word contenant une macro malveillante pour insérer un programme d’installation d’IcedID. Une fois installé, le Trojan tente de voler des informations sur les comptes, des informations de paiement et d’autres informations sensibles sur les PC des utilisateurs. IcedID utilise également d’autres malwares pour se propager et est exploité comme étape initiale de l’infection dans des opérations de ransomware.

« IcedID existe depuis quelques années déjà mais a récemment été utilisé à grande échelle, ce qui montre que les cybercriminels continuent d’adapter leurs techniques pour exploiter les enteprises en se servant de la pandémie comme d’un prétexte », déclare Xavier Duros, CTO de Check Point Software France. « IcedID est un Trojan particulièrement évasif qui utilise toute une série de techniques pour voler des données financières. Les entreprises doivent donc s’assurer qu’elles disposent de systèmes de sécurité robustes pour empêcher que leurs réseaux ne soient compromis et minimiser les risques. Il est indispensable que les employés reçoivent une formation complète, comme toujours, pour être capable d’identifier les types d’emails malveillants qui répandent IcedID et d’autres malwares. »

Check Point Research avertit également que « HTTP Headers Remote Code Execution (CVE-2020-13756) » est la vulnérabilité exploitée la plus courante, touchant 45% des entreprises dans le monde, suivie de « MVPower DVR Remote Code Execution » qui touche 44% d’entre elles. « Dasan GPON Router Authentication Bypass (CVE-2018-10561) » occupe la troisième place dans la liste des vulnérabilités les plus exploitées, avec un impact global de 44%.

Top des familles de logiciels malveillants

* Les flèches indiquent le changement de position par rapport au mois précédent.

Ce mois-ci, Dridex est le malware le plus populaire avec un impact global de 16% des entreprises, suivi de IcedID et Lokibot qui touchent respectivement 11% et 9% des entreprises dans le monde.

  1. ↑ Dridex -Dridex est un cheval de Troie qui cible la plate-forme Windows et qui serait téléchargé via la pièce jointe d’un spam. Dridex contacte un serveur distant et envoie des informations sur le système infecté. Il peut également télécharger et exécuter des modules arbitraires reçus du serveur distant.
  2. ↑ IcedID – IcedID est un cheval de Troie bancaire qui se propage par le biais de campagnes de spams et utilise des techniques d’évasion telles que l’injection de processus et la stéganographie pour voler les données financières des utilisateurs.
  3. ↑ Lokibot – Lokibot est un voleur d’informations distribué principalement via des emails de phishing et utilisé pour voler diverses données telles que les identifiants de messagerie, ainsi que les mots de passe des portefeuilles de CryptoCoin et des serveurs FTP.

Principales vulnérabilités exploitées

Ce mois-ci, « HTTP Headers Remote Code Execution (CVE-2020-13756) » est la vulnérabilité exploitée la plus courante, affectant 45% des entreprises dans le monde, suivie de « MVPower DVR Remote Code Execution » qui touche 44% d’entre elles. « Dasan GPON Router Authentication Bypass (CVE-2018-10561) » occupe la troisième place avec un impact global de 44%.

  1. ↑ HTTP Headers Remote Code Execution (CVE-2020-13756) – Les en-têtes HTTP permettent au client et au serveur de transmettre des informations supplémentaires avec une requête HTTP. Un attaquant distant peut utiliser un en-tête HTTP vulnérable pour exécuter un code arbitraire sur la machine de la victime.
  2. ↑ MVPower DVR Remote Code Execution – vulnérabilité d’exécution de code à distance qui existe dans les appareils MVPower DVR. Un pirate peut exploiter cette vulnérabilité à distance pour exécuter du code arbitraire dans le routeur affecté via une requête spécialement conçue.
  3. ↑ Dasan GPON Router Authentication Bypass (CVE-2018-10561) – vulnérabilité de contournement d’authentification qui existe dans les routeurs GPON de Dasan. L’exploitation réussie de cette vulnérabilité permettrait à des attaquants à distance d’obtenir des informations sensibles et un accès non autorisé au système concerné.

Top des malwares mobiles

Ce mois-ci, Hiddad occupe la première place des malwares mobiles les plus répandus, suivi de xHelper et FurBall.

  1. Hiddad – Hiddad est un malware Android qui reconditionne les applications légitimes, puis les libère dans un magasin tiers. Sa fonction principale est d’afficher des publicités, mais il peut également accéder aux principaux détails de sécurité intégrés au système d’exploitation.
  2. xHelper – application malveillante découverte en mars 2019, utilisée pour télécharger d’autres applications malveillantes et afficher des publicités. L’application est capable d’échapper à l’attention des utilisateurs et de se réinstaller en cas de désinstallation.
  3. FurBall – FurBall est un MRAT (Mobile Remote Access Trojan) Android déployé par APT-C-50, un groupe APT lié au gouvernement iranien. Ce malware a été utilisé dans de multiples campagnes remontant à 2017, et est toujours actif aujourd’hui. Parmi les fonctionnalités de FurBall, citons le vol de messages SMS et de journaux d’appels mobiles, l’enregistrement des appels et de l’environnement, la collecte de fichiers multimédias, la localisation, etc.

Le classement mondial d’impact des menaces de Check Point et sa carte ThreatCloud sont alimentés par l’intelligence ThreatCloud de Check Point, le plus grand réseau collaboratif de lutte contre la cybercriminalité qui fournit des données sur les menaces et les tendances des attaques à partir d’un réseau mondial de capteurs de menaces. La base de données ThreatCloud inspecte plus de 3 milliards de sites web et 600 millions de fichiers par jour, et identifie plus de 250 millions d’activités malveillantes chaque jour.

La liste complète des 10 principales familles de logiciels malveillants en mars est disponible sur le blog de Checkpoint.

by Laëtitia Berché