Catégorie : Chronique

Couvrir les brèches de sécurité – Pourquoi?

Les systèmes informatiques sont paralysés. Des inconnus exigent le paiement d’une rançon avant de vous redonner accès à vos données. Comme si ce n’était pas suffisant, ils menacent de les diffuser publiquement. Comble de malheur, un journaliste vous appelle. Il a vu cette cyber attaque annoncée sur le site du groupe responsable. Il a des questions à vous poser…

Couvrir les brèches de sécurité soulève des questions éthiques. Pourquoi en parler? Ces reportages sont-ils d’intérêt public? Voulant explorer ces questions, je me suis entretenu par courriel avec Dissent Doe, Phd, pseudonyme de la personne derrière le site de nouvelles databreaches.net.

Continuer la lecture de Couvrir les brèches de sécurité – Pourquoi?

Quatre conseils pour manifester avec plus de sécurité

Les manifestations sont la démonstration de la vitalité démocratique d’une société. Malheureusement, que ce soit dans la poursuite d’activités pacifique, d’arrestations « préventives » ou suivant des actes de désobéissance civile, les manifestations sont un lieu favorisant la surveillance et où les droits des citoyens sont fréquemment bafoués. Ainsi, pour ces situations favorables à une surveillance ciblée, où l’utilisation d’appareils numériques peuvent devenir des sources de vulnérabilité, voici quatre conseils pour vous préparer adéquatement.

Continuer la lecture de Quatre conseils pour manifester avec plus de sécurité

Ce qu’il faut retenir de #WannaCry

L’avènement mondial du ver Wannacry a beaucoup attiré l’attention des médias dans les dernières semaines. Le ver, qui s’est rapidement propagé à travers le monde, exploitait la faille informatique EternalBlue découverte par la NSA et rendue publique par le groupe ShadowBrokers.

Depuis, plusieurs variantes exploitant la même vulnérabilité ont été développées. Nous n’avons donc pas fini d’en entendre parler! Voici donc tout ce que vous avez besoin de savoir à propos de Wannacry.

WannaCry: un ver rançongiciel

L’alerte a été lancée au matin du vendredi 12 mai par la US CERT, la United States Computer Emergency Readiness Team. Un ver rançongiciel affectant le système d’exploitation de Microsoft Windows avait été décelé et se propageait à une vitesse fulgurante. Initialement surnommé WannaCry, il a également adopté différents alias, tels que WCry, WannaCrypt, WCrypt, WanaCrypt0r ou Wana Decrypt0r.

WannaCry est un maliciel (logiciel malveillant, ou malware) de type “ver informatique” (worm) car il se reproduit sur plusieurs ordinateurs via les réseaux non sécurisés.

Il est de la catégorie “rançongiciel” (ransomware) car il prend en otage les données stockées sur l’ordinateur infecté. Dit autrement, il bloque l’accès aux fichiers d’un ordinateur en les chiffrant, c’est-à-dire en modifiant leur extension en un type de fichier non-reconnu par le système (ici, c’était l’extension “.wncry »). Pour déchiffrer ces fichiers, il faut payer une rançon.

Le montant initial demandé s’élevait à 0.1781 BTC (environ $300 U.S. en Bitcoin, une cryptomonnaie), mais le montant doublait s’il n’avait pas été payé dans les 3 jours.

L’hameçonnage par courriel n’aurait pas joué un rôle significatif dans la propagation du ver. Plutôt, le ver Wannacry balayait l’Internet pour pour trouver des ordinateurs dont le port SMB (acronyme pour “Server Message Block” qui est un protocole sur les systèmes Windows qui permet le partage de ressources – fichers, imprimantes – via l’Internet) était ouvert pour ensuite installer WannaCry sur les systèmes vulnérables et les autres machines connectées sur le même réseau.

Suite à la fuite de documents par ShadowBrokers, Microsoft avait publié des mises à jour de sécurité et des correctifs (patch) pour les différents systèmes Windows.

La portée et les dégâts causés

Jusqu’à ce jour, le rançongiciel a affecté approximativement 420 000 machines, dans plus de 150 pays. Il s’est avéré que le principal vecteur de l’infection (dans plus de 98% des cas) a été la plateforme Windows 7. Les individus, entreprises ou organisations touchées sont surtout celles n’ayant pas effectués les mises à jour de Windows avec le correctif MS-017-010, qui corrigeait la vulnérabilité ciblée par WannaCry.

En Russie, le ministère de l’Intérieur a vu un millier de ses ordinateurs infectés. Au Royaume-Uni, le ver a créé des perturbations dans plus de 45 hôpitaux, et le constructeur automobile Renault a dû suspendre la production dans cinq de ses usines en Europe. Au Québec, 120 ordinateurs sur 8 300 à l’Université de Montréal ont été infectés.

WannaCry n’a pas touché que des ordinateurs, mais également des panneaux d’information dans des gares et des panneaux publicitaires, entre-autres.

La première vague de propagation du maliciel a été “accidentellement” ralentie par un jeune anglais de 22 ans, MalwareTech, en activant par hasard le commutateur (kill switch) contenu dans le script du ver. Ce commutateur prenait la forme d’un nom de domaine qui n’existait pas, ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com. En achetant, et donc, en validant ce nom de domaine, MalwareTech a réussi à déjouer l’activation et la propagation de l’infection. Depuis, ce nom de domaine a été la cible incessante d’attaques par déni de service – c’est-à-dire l’envoi massif de requêtes pour saturer le serveur du site et le mettre hors d’état de fonctionner – dans l’objectif de permettre de nouveau la propagation de WannaCry.

Aux dernières nouvelles, les portefeuilles liés à WannaCry auraient reçus un total de 302 paiements, totalisant 49.60319339 BTC (environ $126 742,48 USD). Il est néanmoins nécessaire de mentionner que payer la rançon ne garantit en aucun cas le déchiffrement des données. Les malfaiteurs peuvent très bien percevoir l’argent sans honorer l’entente.

Que faire si votre système a été infecté par WannaCry ou un autre ver rançongiciel ?

La première chose qu’il faut comprendre, c’est que si votre machine est infectée, il vous faudra impérativement éliminer toutes les traces du maliciel. Cela peut se faire en effectuant un formatage complet du disque dur et en installant Windows à nouveau ou en remplaçant carrément votre disque dur.

  • Si vous détenez des copies de sauvegarde de vos fichiers importants, vous pourrez copier vos fichiers sauvegardés non chiffrés sur le disque dur nettoyé.
  • Si vous n’avez pas de copies de sauvegarde de vos fichiers, des outils de déchiffrement, WannaKey et WanaKiwi ont été développés. Ils sont disponibles pour téléchargement ici et ici. Par contre, cela fonctionnera seulement si l’ordinateur n’a pas été redémarré depuis l’attaque, car l’outil de déchiffrement se base sur des informations stockées dans la mémoire vive (RAM), qui se vide lors d’un redémarrage. Cependant, même en récupérant vos fichiers avec cette méthode, il vous faudra nettoyer votre disque dur pour déloger le maliciel.

Encore une fois, inutile de payer la rançon, car rien ne vous garantit que les malfaiteurs respecterons l’entente et vous rendront l’accès à vos fichiers.

Conclusion

Lorsque survient ce type d’incident, à qui devrait incomber la responsabilité ? Aux compagnies de services comme Microsoft, aux organisations gouvernementales qui n’ont pas géré les failles de façon sécuritaire, ou encore aux usagers négligents ?

Malgré les différentes façons possibles de prévenir et se protéger contre ces menaces, ce type d’attaque demeure un problème plus compliqué qu’il n’y paraît.

Pour conclure, la cybersécurité est un champ d’activité complexe, nécessitant une responsabilité partagée entre les différents acteurs, tant au niveau individuel qu’au niveau organisationnel et gouvernemental.

En résumé

  • Effectuer les mises à jour de système d’exploitation, des différents logiciels et des applications de façon régulière.
  • Faire aussi souvent que possible des copies de sauvegarde de vos fichiers (“back up”) sur un disque dur externe, clé USB ou dans l’infonuage (Cloud) pour vos fichiers importants. La fréquence peut varier selon les besoins et dépends de la fréquence à laquelle du contenu est modifié ou ajouté dans le système.

Ce qu’il faut retenir de #MacronLeaks

Qui n’a pas entendu parler sur les médias sociaux de la fuite de milliers de documents internes du parti politique français fondé par Emmanuel Macron, En Marche!, révélé le 6 mai dernier ?

Une fuite d’informations à 48h du scrutin
Lors du communiqué de presse, les représentants du mouvement ont affirmé qu’il s’agissait du résultat d’une « action de piratage massive et coordonnée » menée plusieurs semaines auparavant sur les « boîtes mail personnelles et professionnelles de plusieurs responsables du mouvement ». Ils affirment que les pirates ont fait circuler des documents authentiques en y ajoutant des « faux » et ont trafiqué des métadonnées dans le but « de semer le doute et la désinformation ». Les auteurs de cette fuite, de même que leurs motivations, demeurent inconnues à ce jour.

Nous avons également appris que l’équipe d’En Marche! aurait elle-même créé de faux comptes servant à diffuser de fausses informations en guise de “contre-attaque”. En outre, cette tactique d’obfuscation vise à rendre l’exploitation des données plus compliquée pour les pirates et leur faire perdre du temps.

Cette affaire met en lumière les risques de failles de sécurité informatique qui peuvent toucher tout type d’individu ou organisation et menacer ses informations confidentielles et sensibles.

Qu’est-ce que le harponnage?
Même si rien pour l’instant ne permet de déterminer avec certitude la méthode qui a été employée dans le cas #MacronLeaks, les représentants du parti En Marche! affirment qu’il s’agirait de méthodes de harponnage, plus communément « spear phishing ».

Le harponnage consiste à envoyer un ou des courriels à des individus spécifiques pour les inciter à ouvrir une pièce jointe ou un lien URL malveillant, dans le but d’obtenir les accès aux boîtes de courriel, sachant que les courriels sont une porte d’entrée vers divers autres accès, données critiques et documents, et ce, même s’ils ont été protégés par un mot de passe.

Contrairement à l’hameçonnage, tel qu’employé dans la récente fraude “Google Docs”, qui balaye les failles de manière aléatoire, le harponnage va cibler des organisations ou des individus en particulier. Ceux-ci peuvent être ciblés en raison de leur position stratégique ou névralgique au sein d’une organisation ou de la vulnérabilité potentielle qu’ils peuvent représenter.

Dans le cas #MacronLeaks, Mounir Majhoubi, chargé de la campagne numérique d’En Marche!, spécifie qu’environ 5 boîtes de courriel de personnes importantes au sein de l’équipe politique ont été ciblées plus particulièrement, dont le responsable financier.

Protéger les données par une bonne gestion de l’accès
Cette affaire démontre, encore une fois, à quel point la protection des accès et des données demeurent d’une importance sous-estimée, non seulement du côté de la population en général, mais aussi du côté des organisations. Cette situation a même été récupérée par des entreprises de sécurité pour tenter de vendre des solutions de cybersécurité “offensives”, telles que des services de contre-renseignement. Par contre, ce ne sont pas nécessairement des solutions efficaces ou adaptées pour prévenir ce genre d’incident.

Pour ces raisons, Crypto.Québec vous rappelle l’importance de bien contrôler, superviser et gérer les accès aux comptes qui sont plus privilégiés au sein de votre organisation, ne jamais accorder d’accès libre sans restriction, de surveiller ce que les membres font de leur autorisation d’accès et de vous servir d’un bon gestionnaire de mot de passe pour y stocker et gérer la rotation des identifiants.

Campagne de hameçonnage par courriel via « Google Docs »

Depuis mercredi après-midi, plusieurs utilisateurs de Google rapportent avoir reçu un courriel contenant un lien vers un fichier « Google Docs » de la part d’une connaissance… du moins en apparence. Ces courriels se sont avérés malicieux et ont permis à l’émetteur d’avoir accès aux comptes Gmail des utilisateurs, incluant tous leurs messages dans les dossiers classés, envoyés et supprimés, ainsi qu’à leur liste de contacts. Tout cela dans l’objectif de se servir de ces accès afin d’infecter d’autres comptes.

En cliquant sur ce lien, l’adresse vous redirige vers une page légitime appartenant à Google (apps.googleusercontent.com), mais vous demande l’autorisation d’accéder à une application nommée « Google Docs », qui elle, est d’origine frauduleuse (l’application légitime étant Google Drive).

Un des points communs de ces courriels est la présence de l’adresse hhhhhhhhhhhhhhhh@mailinator.com dans la liste d’envoi. Cette attaque semble cibler particulièrement le milieu des journalistes, mais peut potentiellement toucher divers milieux et individus.

Que faire si vous recevez ce type de courriel ?

En premier lieu, il importe de ne pas cliquer sur les liens provenant d’adresses inconnues ou de fichiers qui vous semblent suspects (un fichier sans titre, par exemple).

Si vous recevez ce type de lien vers un fichier de la part d’une personne que vous connaissez, vérifiez la validité du courriel avec cette personne au préalable (par téléphone, par exemple).

Que faire si vous avez cliqué sur le lien ?

Avoir cliqué sur le lien ne suffit pas à la propagation du ver; il faut avoir autorisé le fonctionnement  de l’application malicieuse « Google Docs ». Si c’est le cas, on vous invite à suivre les démarches suivantes pour retirer l’autorisation à l’application « Google Docs » dans « Applications connectées à mon compte »:

  1. Rendez-vous sur la page des autorisations votre compte Google.
  2. Localisez la section concernant l’application « Google Docs »: bien que tout semble légitime, ce n’est pas le cas, il s’agit de l’application frauduleuse. Il suffit alors de simplement retirer l’autorisation pour cette application.

Google aurait prit les initiatives nécessaires pour limiter la propagation du ver en supprimant la page frauduleuse et en bloquant le compte de l’émetteur, mais nous invite tout de même à signaler les courriels frauduleux à cette adresse de support.

Crypto.Québec vous rappelle qu’en tout temps, il est préférable de redoubler de prudence avant de cliquer sur un lien suspect ou provenant de personnes inconnues.