Des virus ou vers massifs : les premiers impacts généralisés

Les codes malveillants ont ensuite évolué, devenant de plus en plus visibles et entraînant des impacts bien réels dans les entreprises. C’est au début des années 2000 qu’ils ont fait le plus parler d’eux. Nimda (2001), Blaster (2003), Sasser (2004), tous ces noms donnent encore des sueurs froides aux responsables des postes de travail ou des réseaux. Ces codes malveillants entraînaient des indisponibilités massives en saturant les réseaux et ont mis en lumière les vulnérabilités et la fragilité du SI. Leurs effets sont somme toute restés limités à des indisponibilités et à des efforts humains importants de nettoyage au sein de la DSI. Conficker marque le dernier évènement marquant de cette catégorie… et il date maintenant de 2008. On trouve encore dans certains SI un peu de ces « anciens » codes malveillants, assez simples à nettoyer et dont on peut se protéger par des mesures basiques (application de correctif, blocage de flux sur les réseaux…).

Au-delà des dénis de service, les malwares deviennent des plateformes d’espionnage et de destruction

Aujourd’hui la situation a bien changé, et depuis le début des années 2010, nous voyons apparaître des codes malveillants d’un tout autre niveau. Des codes très impactants et pouvant provoquer des incidents majeurs. Nous  pouvons citer les malwares « incapacitants » ou « destructeurs », comme ceux ayant visé la Corée ou l’Arabie Saoudite, et ayant entraîné la destruction de postes de travail, ou encore le fameux ransomware Cryptolocker qui rend les données inaccessibles. Dans cette catégorie, Stuxnet représente certainement le code malveillant le plus abouti sur les systèmes industriels.

Certains codes malveillants sont aussi capables de devenir de véritables espions de l’activité d’une entreprise. Les fameux Gauss, Duqu, ou encore très récemment The Mask, sont capables de s’installer sur le SI d’une entreprise, de prendre le contrôle de postes de travail et d’exfiltrer des informations très sensibles sans être facilement détectés. Aujourd’hui ces codes malveillants sont issus de vrais groupes organisés, dotés de moyens importants et d’équipes entraînées. La révélation de The Mask le montre bien : le code malveillant et son infrastructure de contrôle disposaient de mécanismes pour bloquer les équipes des éditeurs de sécurité et une fois révélé, toute l’infrastructure a été décommissionée en 4 jours. L’organisation derrière ce malware avait bien prévu un « kill switch » pour disparaître en cas de compromission. Le changement de niveau technique et de moyens est bien réel, car les enjeux eux aussi ont beaucoup évolué depuis les années 1980 et la digitalisation progressive de notre société.

La fin du support de Window XP verra-t-elle ressurgir des menaces historiques ?

Il est évident que des codes malveillants « avancés » vont être révélés régulièrement. Les attaquants voient tout l’intérêt de continuer à faire évoluer leurs « armes numériques » et la montée en puissance est encore en cours. Les révélations sur la NSA montrent que les services de renseignement ont encore un cran d’avance avec des mécanismes d’attaques avancés, très discrets, et prévus pour se cacher en cas d’investigation.

Mais des problèmes que l’on croyait appartenir au passé reviendront-ils  à court terme ? En effet la fin du support de Windows XP peut faire ressurgir la crainte d’un ver réseau incapacitant qui se répandrait sur les systèmes d’information, utilisant encore cette version du système d’exploitation. La crainte est réelle dans les entreprises face à cet ancien type de menaces, et nous accompagnons de nombreuses structures qui se préparent à cette éventualité en revoyant leur processus de crise et en prévoyant des moyens de réactions et de préventions adéquates aujourd’hui.

Cet article De « I Love You » à « Blaster », va-t-on voir un retour des codes malveillants du passé ? est apparu en premier sur RiskInsight.

Flame est un virus ultra-sophistiqué, conçu comme une boîte à outil pour cyber-espion. Il permet de récupérer sur les ordinateurs infectés n’importe quel document : email, liste de contacts, de faire des copies d’écran, d’enregistrer le son ambiant mais aussi d’enregistrer les mots de passe tapés ou les conversations par chat. Il s’agit d’un virus particulier du fait de sa taille : plus de 20 Mo, ce qui le rend difficilement détectable. Ses fonctionnalités et sa complexité démontrent clairement qu’il a été conçu par des développeurs chevronnés, fonctionnant en équipe. Il faudra de nombreux mois avant que les chercheurs en sécurité ne soient capables d’en comprendre complètement le fonctionnement.

Il représente un risque sérieux, en particulier pour les entreprises et les infrastructures critiques des états. Les dernières annonces sont inquiétantes, en particulier sur l’usurpation des mécanismes de confiance de Windows Update. La découverte de Flame pousse même une agence des Nations Unis à lancer une alerte officielle aux différents états membres pour qu’ils prennent des mesures conservatoires. Cependant, bien qu’en circulation depuis plusieurs années, ce virus n’aurait touché qu’un millier de PC, principalement au Moyen Orient. Le parallèle avec le virus Stuxnet est certes frappant, mais il est trop tôt pour y voir un lien direct.

En parallèle, des informations sur l’origine du virus Stuxnet ont été révélées par la presse américaine ; doit-on voir les Etats-Unis et Israël derrière ce projet ?

Les informations circulant actuellement mentionnent une collaboration entre ces deux pays afin de viser le programme nucléaire iranien par le biais d’une cyberattaque. Les détails de cette histoire sont passionnants, comme l’explique l’article du New York Times. Ces révélations corroborent ce que les experts sécurité avaient envisagé : la complexité de l’attaque et ses particularités ne pouvaient être qu’une attaque ciblée en provenance de puissance étatique. L’attaque a été révélée au grand public car le code malicieux a échappé à son concepteur et s’est répandu plus largement que prévu.

Que préfigurent ces deux évènements ?

Elles démontrent clairement que les attaques deviennent de plus en plus ciblées. Dans le cas de Flame et de Stuxnet, des Etats sont à l’origine des attaques. Mais ce mouvement de ciblage touche aujourd’hui également les services financiers avec des attaques très précises sur les sites de banque en ligne, avec des malwares comme Zeux ou Torpig qui sont adaptés pour comprendre la logique des sites et modifier leurs attaques en fonctions, en y impliquant aussi les téléphones mobiles des clients. Ce ciblage se retrouve également dans les attaques contre les entreprises, où les pirates enquêtent par exemple par l’intermédiaire des réseaux sociaux et utilisent des moyens spécifiques, adaptés à leur cible, pour dérober des informations sensibles internes.

Il apparaît clairement que la menace se précise, qu’elle se professionnalise et que les attaquants sont en mesure de mobiliser moyens importants au vu les gains financiers qu’ils tirent des attaques.

Les entreprises et les grandes organisations doivent suivre le même chemin et augmenter leur niveau de sécurité en fonction de leurs enjeux, une refonte des modèles de sécurité est bien souvent nécessaire pour se recentrer sur les périmètres les plus critiques (cf tribune attaques ciblées).

Cet article Apparition de Flame et révélation sur Stuxnet, quelles conséquences pour la sécurité de l’information ? est apparu en premier sur RiskInsight.