Les Chiens de garde #52 – Crash Override et Hydro-Québec, fuite massive de données d’électeurs aux USA et le projet de loi C-59 en marge d’un nouveau rapport du CST

La 52e émission des Chiens de garde, le podcast de Crypto.Québec sur la sécurité, la vie privée et la surveillance, est en ligne. L’épisode a été enregistré le mercredi 21 juin 2017.


Type de fichier : OGG / MP3 – Taille : 79,19MB – Durée : 34:36 m (320 kbps 44100 Hz)

Notes de l’émission

Équipe

Les Chiens de garde #51 – Spécial questions et réponses en direct

La 51e émission des Chiens de garde, le podcast de Crypto.Québec sur la sécurité, la vie privée et la surveillance, est en ligne. L’épisode a été enregistré le mercredi 14 juin 2017.


Type de fichier : OGG / MP3 – Taille : 71,63MB – Durée : 31:18 m (320 kbps 44100 Hz)

Notes de l’émission

  • Annonces:
  • Conseil de la semaine: ne payez pas les rançons!
  • Sécurité:
    • CD Projekt Red s’est fait voler les fichiers du jeu Cyberpunk 2077 et les hackers menacent de publier le tout si la compagnie de développement ne paie pas une rançon.

Équipe

Les Chiens de garde #50 – Une taupe de la NSA exposée via des micropoints imprimés, imbroglio au Qatar après un hack télévisuel et des milliers de vulnérabilités dans les pacemakers

La 50e émission des Chiens de garde, le podcast de Crypto.Québec sur la sécurité, la vie privée et la surveillance, est en ligne. L’épisode a été enregistré le mercredi 7 juin 2017.


Type de fichier : OGG / MP3 – Taille : 83,29MB – Durée : 36:23 m (320 kbps 44100 Hz)

Notes de l’émission

  • Annonces:
  • Conseil de la semaine : arrêtez de réutiliser des mots de passe d’un site à l’autre.
  • Livres :
    • Critique de “Defensive Security Handbook” de Lee Brotherston et Amanda Berlin.
    • Queer Privacy de Sarah Jamie Lewis.
  • Politique:
    • The Intercept a publié un document classé top secret par la NSA expliquant en plus de détails l’interférence russe lors des dernières élections américaines. Or, la source du journal électronique a été révélée grâce à des micropoints jaune présents sur les feuilles du document en question!
    • Theresa May lance un appel à un plus grand contrôle d’Internet suite aux attentats du pont de Londres.
    • Qatar : un hack à l’agence de nouvelles nationale qui a des conséquences géopolitiques sérieuses. Al-Jazeera bloqué aux Émirats Arabes Unis / Arabie Saoudite… Conséquence? En prime: une fuite récente de courriels en provenance des Émirats Arabes Unis aurait sérieusement endommagé les relations au sein du Conseil de coopération du Golfe. Relié?
    • Shadowbrokers : des nouvelles bientôt du service “d’abonnement aux exploits de Equation Group”? Alors qu’un groupe de sociofinancement se retire, une autre initiative, celle-là anonyme (.onion), se profile.
    • La firme de recherche en sécurité WhiteScope a découvert plus de 8 000 vulnérabilités dans différents stimulateurs cardiaques en vente sur le marché.
    • Six mois de prison pour avoir refusé de donner son mot de passe de iPhone à la police.

Équipe

Ce qu’il faut retenir de #WannaCry

L’avènement mondial du ver Wannacry a beaucoup attiré l’attention des médias dans les dernières semaines. Le ver, qui s’est rapidement propagé à travers le monde, exploitait la faille informatique EternalBlue découverte par la NSA et rendue publique par le groupe ShadowBrokers.

Depuis, plusieurs variantes exploitant la même vulnérabilité ont été développées. Nous n’avons donc pas fini d’en entendre parler! Voici donc tout ce que vous avez besoin de savoir à propos de Wannacry.

WannaCry: un ver rançongiciel

L’alerte a été lancée au matin du vendredi 12 mai par la US CERT, la United States Computer Emergency Readiness Team. Un ver rançongiciel affectant le système d’exploitation de Microsoft Windows avait été décelé et se propageait à une vitesse fulgurante. Initialement surnommé WannaCry, il a également adopté différents alias, tels que WCry, WannaCrypt, WCrypt, WanaCrypt0r ou Wana Decrypt0r.

WannaCry est un maliciel (logiciel malveillant, ou malware) de type “ver informatique” (worm) car il se reproduit sur plusieurs ordinateurs via les réseaux non sécurisés.

Il est de la catégorie “rançongiciel” (ransomware) car il prend en otage les données stockées sur l’ordinateur infecté. Dit autrement, il bloque l’accès aux fichiers d’un ordinateur en les chiffrant, c’est-à-dire en modifiant leur extension en un type de fichier non-reconnu par le système (ici, c’était l’extension “.wncry »). Pour déchiffrer ces fichiers, il faut payer une rançon.

Le montant initial demandé s’élevait à 0.1781 BTC (environ $300 U.S. en Bitcoin, une cryptomonnaie), mais le montant doublait s’il n’avait pas été payé dans les 3 jours.

L’hameçonnage par courriel n’aurait pas joué un rôle significatif dans la propagation du ver. Plutôt, le ver Wannacry balayait l’Internet pour pour trouver des ordinateurs dont le port SMB (acronyme pour “Server Message Block” qui est un protocole sur les systèmes Windows qui permet le partage de ressources – fichers, imprimantes – via l’Internet) était ouvert pour ensuite installer WannaCry sur les systèmes vulnérables et les autres machines connectées sur le même réseau.

Suite à la fuite de documents par ShadowBrokers, Microsoft avait publié des mises à jour de sécurité et des correctifs (patch) pour les différents systèmes Windows.

La portée et les dégâts causés

Jusqu’à ce jour, le rançongiciel a affecté approximativement 420 000 machines, dans plus de 150 pays. Il s’est avéré que le principal vecteur de l’infection (dans plus de 98% des cas) a été la plateforme Windows 7. Les individus, entreprises ou organisations touchées sont surtout celles n’ayant pas effectués les mises à jour de Windows avec le correctif MS-017-010, qui corrigeait la vulnérabilité ciblée par WannaCry.

En Russie, le ministère de l’Intérieur a vu un millier de ses ordinateurs infectés. Au Royaume-Uni, le ver a créé des perturbations dans plus de 45 hôpitaux, et le constructeur automobile Renault a dû suspendre la production dans cinq de ses usines en Europe. Au Québec, 120 ordinateurs sur 8 300 à l’Université de Montréal ont été infectés.

WannaCry n’a pas touché que des ordinateurs, mais également des panneaux d’information dans des gares et des panneaux publicitaires, entre-autres.

La première vague de propagation du maliciel a été “accidentellement” ralentie par un jeune anglais de 22 ans, MalwareTech, en activant par hasard le commutateur (kill switch) contenu dans le script du ver. Ce commutateur prenait la forme d’un nom de domaine qui n’existait pas, ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com. En achetant, et donc, en validant ce nom de domaine, MalwareTech a réussi à déjouer l’activation et la propagation de l’infection. Depuis, ce nom de domaine a été la cible incessante d’attaques par déni de service – c’est-à-dire l’envoi massif de requêtes pour saturer le serveur du site et le mettre hors d’état de fonctionner – dans l’objectif de permettre de nouveau la propagation de WannaCry.

Aux dernières nouvelles, les portefeuilles liés à WannaCry auraient reçus un total de 302 paiements, totalisant 49.60319339 BTC (environ $126 742,48 USD). Il est néanmoins nécessaire de mentionner que payer la rançon ne garantit en aucun cas le déchiffrement des données. Les malfaiteurs peuvent très bien percevoir l’argent sans honorer l’entente.

Que faire si votre système a été infecté par WannaCry ou un autre ver rançongiciel ?

La première chose qu’il faut comprendre, c’est que si votre machine est infectée, il vous faudra impérativement éliminer toutes les traces du maliciel. Cela peut se faire en effectuant un formatage complet du disque dur et en installant Windows à nouveau ou en remplaçant carrément votre disque dur.

  • Si vous détenez des copies de sauvegarde de vos fichiers importants, vous pourrez copier vos fichiers sauvegardés non chiffrés sur le disque dur nettoyé.
  • Si vous n’avez pas de copies de sauvegarde de vos fichiers, des outils de déchiffrement, WannaKey et WanaKiwi ont été développés. Ils sont disponibles pour téléchargement ici et ici. Par contre, cela fonctionnera seulement si l’ordinateur n’a pas été redémarré depuis l’attaque, car l’outil de déchiffrement se base sur des informations stockées dans la mémoire vive (RAM), qui se vide lors d’un redémarrage. Cependant, même en récupérant vos fichiers avec cette méthode, il vous faudra nettoyer votre disque dur pour déloger le maliciel.

Encore une fois, inutile de payer la rançon, car rien ne vous garantit que les malfaiteurs respecterons l’entente et vous rendront l’accès à vos fichiers.

Conclusion

Lorsque survient ce type d’incident, à qui devrait incomber la responsabilité ? Aux compagnies de services comme Microsoft, aux organisations gouvernementales qui n’ont pas géré les failles de façon sécuritaire, ou encore aux usagers négligents ?

Malgré les différentes façons possibles de prévenir et se protéger contre ces menaces, ce type d’attaque demeure un problème plus compliqué qu’il n’y paraît.

Pour conclure, la cybersécurité est un champ d’activité complexe, nécessitant une responsabilité partagée entre les différents acteurs, tant au niveau individuel qu’au niveau organisationnel et gouvernemental.

En résumé

  • Effectuer les mises à jour de système d’exploitation, des différents logiciels et des applications de façon régulière.
  • Faire aussi souvent que possible des copies de sauvegarde de vos fichiers (“back up”) sur un disque dur externe, clé USB ou dans l’infonuage (Cloud) pour vos fichiers importants. La fréquence peut varier selon les besoins et dépends de la fréquence à laquelle du contenu est modifié ou ajouté dans le système.

Les Chiens de garde #49 – Les politiques de modération de Facebook, la surveillance des militants à Standing Rock et l’origine de Shadow Brokers

La 49e émission des Chiens de garde, le podcast de Crypto.Québec sur la sécurité, la vie privée et la surveillance, est en ligne. L’épisode a été enregistré le mercredi 31 mai 2017.


Type de fichier : OGG / MP3 – Taille : 84,24MB – Durée : 36:48 m (320 kbps 44100 Hz)

Notes de l’émission

Équipe

  • Animation : Geneviève Lajeunesse
  • Sonorisation : Mathieu Tessier
  • Chroniqueurs : Anne-Sophie Letellier et Sophie Thériault
  • Médias sociaux : Sophie Thériault
  • Identité graphique : Bonhomme
  • Indicatif sonore : Danny Provencher / Under Electric Light
  • Autres remerciements : Vues & voix pour les locaux et le GRISQ