Office 365 : des liens Google Drive utilisés pour contourner les contrôles anti-phishing

Office 365 : des liens Google Drive utilisés pour contourner les contrôles anti-phishing

Une nouvelle campagne de phishing a été détectée. Elle utilise les liens Google Drive pour éviter d’être détectée par la protection en ligne d’Office 365 Exchange et pour garantir que les e-mails de phishing arrivent dans les boîtes de réception de leurs cibles.

Les pirates qui envoyaient les e-mails, signalés par Cofense Intelligence, se faisaient passer pour le PDG d’une entreprise qui voulait partager un document important. Le document avait été partagé via Google Drive et avait pour objet « Message important du PDG ».

Google Drive permet d’envoyer facilement des fichiers et des demandes de collaboration à d’autres personnes. Le titulaire du compte choisit avec qui il souhaite partager un fichier et le système génère une alerte par e-mail contenant un lien vers le fichier partagé.

Pour ce cas précis, le nom du PDG était correct, mais l’adresse électronique utilisée était différente du format utilisé par l’entreprise. Bien que ce soit un signe évident que les messages n’étaient pas ce qu’ils semblaient être, certains employés seraient probablement dupés.

Il est important de noter que les messages n’ont pas été considérés comme étant malveillants par le la protection en ligne d’Office 365 Exchange et ils étaient livrés dans les boîtes de réception de leurs destinataires. Une analyse rapide du message ne révélerait rien de suspect, car l’URL intégrée est un lien partagé légitime vers un véritable service d’informatique dans le cloud exploité par Google.

Le document partagé lui-même n’est pas malveillant, mais il contient un URL qui établit un lien vers un autre document Google Docs et une URL de phishing. Si la solution anti-phishing que vous mettez en place évalue uniquement l’hyperlien intégré dans les e-mails pour déterminer s’il est malveillant, le message pourra toujours arriver dans la boite de réception des utilisateurs. Seule une inspection plus approfondie permettrait de révéler la véritable nature de l’URL.

Si l’utilisateur final clique sur le lien, une fausse fenêtre de connexion se présente. S’il saisit ses identifiants de connexion, les données sont capturées et stockées sur le serveur de l’attaquant.

Cette campagne souligne l’importance des défenses anti-phishing multicouches. Elle met également en exergue les risques que peuvent représenter le fait de compter uniquement sur la protection en ligne d’Office 365 Exchange pour assurer la protection contre les attaques de phishing.

Une solution avancée de filtrage du spam devrait être mise en œuvre en plus d’Office 365 pour assurer une meilleure protection contre le phishing et les autres attaques basées sur la messagerie électronique. Cela permettra de bloquer les attaques de phishing plus sophistiquées. De cette manière, même si un message malveillant arrive dans la boîte de réception de la personne ciblée, et même si celle-ci clique sur un lien malveillant, la connexion à la page web malveillante pourrait être bloquée à l’aide d’une solution de filtrage web.

WebTitan est une solution de filtrage de contenu basée sur le DNS. Elle sert de couche supplémentaire dans les défenses anti-phishing des entreprises. Si un employé tente de visiter un site web ou un domaine suspect, la tentative sera bloquée avant qu’un contenu malveillant ne soit téléchargé.

WebTitan évalue chaque site web lorsque la requête DNS est effectuée. Les sites malveillants et ceux qui violent les politiques de contrôle de contenu d’une organisation sont bloqués. Pour en savoir plus sur la façon dont un filtre DNS peut améliorer vos défenses contre les attaques de phishing et les téléchargements de malwares, contactez TitanHQ dès aujourd’hui.

Phishing sur Instagram : l’authentification à deux facteurs ciblée par une nouvelle attaque

Phishing sur Instagram : l’authentification à deux facteurs ciblée par une nouvelle attaque

Une campagne de phishing d’Instagram très convaincante a été identifiée. Elle utilise des avertissements sur les tentatives de connexion frauduleuses pour inciter les utilisateurs à visiter une page web de phishing où ils doivent confirmer leur identité en se connectant à leur compte.

Les messages comprennent le logo Instagram avec un avertissement informant l’utilisateur que quelqu’un a tenté de se connecter à son compte Instagram. Le message est une copie carbone (Cc) virtuelle des messages d’authentification authentiques à deux facteurs qui sont envoyés aux utilisateurs pour confirmer leur identité lorsqu’une tentative de connexion suspecte est détectée.

Les messages comprennent un code à 6 chiffres qui doit être saisi lors de la connexion au compte de l’utilisateur, ainsi qu’un hyperlien d’ouverture de session. Ce dernier est alors invité à se connecter pour confirmer son identité et sécuriser son compte.

Les messages sont bien écrits, bien qu’il y ait quelques erreurs de ponctuation qui suggèrent que l’e-mail n’est peut-être pas ce qu’il semble être. Ces erreurs pourraient facilement être négligées par une personne qui craint que son compte ait été piraté.

Non seulement le message est presque identique à l’avertissement 2FA d’Instagram, mais le site web vers lequel l’utilisateur est dirigé est également un clone parfait de la page de connexion authentique d’Instagram. La page web a un certificat SSL valide et commence par HTTPS et affiche le cadenas vert pour confirmer que la connexion entre le navigateur et la page web est sécurisée.

Le seul signe qui pourrait indiquer que la page web n’est pas authentique est son nom de domaine. Les escrocs ont choisi un nom de domaine gratuit en .CF (République centrafricaine), ce qui indique clairement que la page web est un faux. Cependant, la présence de HTTPS et d’un cadenas vert pourrait tromper de nombreuses personnes en leur faisant croire qu’elles se trouvent sur un site sécurisé.

Beaucoup de gens croient à tort que la présence du HTTPS au début d’un site web et d’un cadenas vert signifie que le site web est authentique et sécurisé. Cependant, cela indique seulement que la connexion entre le navigateur et le site web est sécurisée et que toute information sensible fournie à ce site sera protégée contre l’accès non autorisé lors d’une attaque de type Man-in-The-Middle (MiTM). Pour faire simple, cela ne veut pas dire que le contenu de la page web est authentique.

Les sites web HTTPS sont souvent utilisés pour le phishing, car de nombreuses personnes cherchent le cadenas vert pour confirmer que le site est sécurisé. Malheureusement, les certificats SSL sont souvent fournis gratuitement par les sociétés d’hébergement et les contrôles sur le contenu du site ne sont pas effectués.

Il s’agit d’une question importante que les entreprises doivent couvrir dans le cadre de la formation de sensibilisation à la sécurité. Les employés devraient apprendre la véritable signification du cadenas vert et toujours vérifier soigneusement le nom de domaine avant de divulguer toute information sensible.

Les entreprises peuvent encore améliorer leurs défenses contre le phishing avec une solution de filtrage web telle que WebTitan. Avec WebTitan en place, elles peuvent contrôler soigneusement les types de sites web que leurs employés peuvent visiter sur leurs ordinateurs de travail.

WebTitan empêche également les utilisateurs d’accéder à tout site web connu pour être utilisé à des fins de phishing, de distribution de malwares ou à d’autres fins malveillantes. De plus, WebTitan effectue des contrôles en temps réel pour évaluer la légitimité d’un site web. Si les vérifications échouent, le site sera bloqué et l’utilisateur sera informé qu’il ne pourra pas y accéder.

Pour plus d’informations sur la façon dont un filtre web peut améliorer sécurité web de votre entreprise et protéger vos employés contre les attaques de phishing, contactez l’équipe TitanHQ dès aujourd’hui.

Attaque de phishing profitant des déclarations d’impôts à l’IRS

Attaque de phishing profitant des déclarations d’impôts à l’IRS

Les contribuables et les professionnels de l’impôt sont ciblés par des escrocs qui se font passer pour l’IRS (Internal Revenue Service). L’objectif de cette nouvelle attaque de phishing est de diffuser des malwares qui volent des informations. Le logiciel malveillant récolte des informations d’identification qui sont ensuite utilisées pour accéder à des comptes financiers et les vider.

La campagne utilise au moins deux lignes d’objet pour les e-mails : « Electronic Tax Return Reminder » et « Automatic Income Tax Reminder ». Les e-mails contiennent un hyperlien qui dirige l’utilisateur vers un site web qui ressemble de près à IRS.gov. Les e-mails comprennent un mot de passe unique que la personne ciblée peut utiliser pour ouvrir une session afin de soumettre une demande de remboursement d’impôt.

Lorsque l’utilisateur ouvre une session sur le site, le message l’informe qu’il doit télécharger un fichier afin de soumettre son remboursement. En réalité, le fichier contient un malware enregistreur de frappe qui enregistre les frappes sur un ordinateur infecté, permettant ainsi aux attaquants de soutirer des informations sensibles concernant leurs cibles.

Des avertissements ont été émis après que plusieurs contribuables et professionnels de l’impôt aient signalé les e-mails de phishing à l’IRS. Des efforts ont été menés dans le but de perturber la campagne, mais l’IRS note que des douzaines de sites web compromis et d’URL malveillantes sont utilisés par les escrocs.

L’IRS a déjà contacté les sociétés d’hébergement web pour qu’elles ferment les sites malveillants, mais le nombre d’URL utilisées rend la tâche très difficile. Dès qu’une URL est supprimée, d’autres apparaissent.

Les arnaqueurs misent sur l’offre de remboursement d’impôt ou la menace d’une action en justice pour des questions fiscales. C’est ce qui a incité de nombreuses personnes à cliquer sur les liens malveillants contenus dans les messages, sans avoir préalablement évalué le contenu du message et la légitimité de la demande.

Le conseil de l’IRS est de ne jamais cliquer sur un lien contenu dans un e-mail non sollicité prétendant provenir de l’IRS. L’IRS ne prend jamais l’initiative de communiquer avec les contribuables par e-mail, par message texte ou par les médias sociaux, et aucune demande de renseignements personnels n’est jamais envoyée via ces canaux.

Le dernier avertissement survient quelques mois seulement après que l’IRS et les partenaires du Security Summit aient rappelé que tous les préparateurs de déclarations de revenus professionnels sont tenus par la loi « FTC Safeguards Rule » et doivent mettre en œuvre un plan écrit de sécurité des informations pour s’assurer que les informations fiscales de leurs clients sont correctement protégées.

Ce rappel a été émis parce qu’il était devenu évident que de nombreux professionnels de l’impôt n’étaient pas conscients de leurs obligations de mettre en œuvre un plan de sécurité pour protéger les données fiscales de leurs clients.

Le plan de sécurité de l’information doit comporter plusieurs éléments :

  • Désigner un ou plusieurs employés pour coordonner le plan de sécurité de l’information
  • Effectuer une analyse des risques afin de déterminer les risques pour la confidentialité des données des clients
  • Évaluer l’efficacité des mesures de protection actuelles
  • Mettre en œuvre, surveiller et mettre à l’essai le programme de garanties
  • Opter uniquement pour des fournisseurs de services qui peuvent maintenir des mesures de protection appropriées et superviser le traitement des données des clients
  • Évaluer et mettre à jour le programme de sécurité, s’il y a lieu, en fonction des changements apportés aux pratiques commerciales et aux opérations

Les exigences relatives au plan de sécurité de l’information sont souples. Par exemple, les préparateurs de déclarations peuvent choisir les mesures de protection à mettre en œuvre en fonction de leur propre situation et des résultats de leurs analyses de risque.

Les deux principales mesures de protection qui protègent les entreprises contre le phishing et les attaques de malwares sont un filtre anti-spam et un filtre web. Le filtre anti-spam protège le système de messagerie en identifiant et en bloquant les messages malveillants tels que les e-mails de phishing et les spams, tandis qu’un filtre web bloque les attaques sur le web et les téléchargements de malwares. Ces deux solutions sont très efficaces pour bloquer le phishing et les attaques de malwares, tout en étant peu coûteuses à mettre en œuvre.

Pour en savoir plus sur la façon dont les filtres anti-spam et les filtres web peuvent protéger votre entreprise et vous aider à assumer vos responsabilités légales, contactez TitanHQ dès aujourd’hui.

Avertissement – Ignorez la demande de paiement pour le service de radiation d’une liste noire

Avertissement – Ignorez la demande de paiement pour le service de radiation d’une liste noire

UCEProtect est un DNSBL (DNS Black Listing) public.

Il s’agit d’une méthode qui permet de consulter la liste noire des émetteurs d’e-mails en utilisant le protocole DNS. Il répertorie les adresses IP qui envoient du spam à leurs pièges à spam (adresses e-mail non valides conçues pour identifier les abus).

Certaines adresses qui figurent dans les listes noires peuvent, et vont probablement, causer des dommages collatéraux à des utilisateurs innocents lorsqu’elles sont utilisées pour bloquer leurs systèmes de messagerie électronique. Et lorsque ces derniers voudront retirer leur adresse IP de la liste noire, UCEProtect facturera les frais de radiation.

TitanHQ avertit les administrateurs de la messagerie électronique de ne pas utiliser la liste noire d’UCEProtect et d’éviter de payer pour le service de radiation. En effet, la liste noire d’UCEProtect applique des politiques de listage agressives. Pour cette raison, et parce que cette liste noire est rarement utilisée, nous ne voyons que très peu d’impact réel sur le flux d’e-mails.

À propos d’UCEProtect et de Backscatterer.org

Les deux entités appartiennent à la même organisation. UCEProtect et Backscatterer ont pour rôle de dresser la liste des adresses IP qui envoient du spam et/ou de la rétrodiffusion (rebondissements mal dirigés).

UCEProtect est un DNSBL public qui répertorie les adresses IP qui envoient du spam dans leurs pièges à spam. La rétrodiffusion se produit lorsqu’un message de rebond est envoyé à un utilisateur innocent, c’est-à-dire un utilisateur qui n’est pas à l’origine du spam.

Ce dernier reçoit donc un message retourné pour des e-mails qu’il n´a jamais envoyés. Ce problème peut devenir frustrant et parfois perturbant pour l’utilisateur, car la rétrodiffusion peut entraîner une augmentation de la charge des flux d’e-mails entrants.

La rétrodiffusion peut être évitée en mettant en place une vérification du destinataire et une validation de l’étiquette d’adresse de rebond (Bounce Address Tag Validation – BATV).

Que faire ensuite ?

TitanHQ vous recommande de ne pas tenir compte lorsqu’UCEProtect exige le paiement pour le service de radiation de sa liste noire.

Le modèle de paiement pour la radiation n’est pas très respecté dans le domaine de la messagerie électronique, car UCEProtect a une portée très limitée. De nombreux pays ont déjà bloqué le serveur UCEProtect à l’échelle mondiale, ce qui signifie que les serveurs de messagerie ne peuvent pas l’utiliser.

Pour plus d’informations sur le fonctionnement des DNSBL de confiance, veuillez consulter l’équipe technique de TitanHQ.

Avertissements émis à propos des escroqueries par phishing contre Travelex

Avertissements émis à propos des escroqueries par phishing contre Travelex

Chaque fois qu’un événement majeur attire l’attention des médias, les cybercriminels sont toujours là pour en profiter.

Il n’est donc pas surprenant que des avertissements soient émis à propos des attaques de phishing contre Travelex.

L’attaque de ransomware contre Travelex, qui a frappé la veille du Nouvel An, impliquait une variante du ransomware appelée Sodinokibi. L’auteur de la menace est l’un des groupes cybercriminels les plus prolifiques utilisant des ransomwares.

Les attaques ont été très ciblées et visaient à chiffrer des réseaux entiers et les demandes de rançon reflètent l’ampleur du chiffrement. Initialement, le groupe de pirates a demandé une rançon de plus de 2,7 millions d’euros à Travelex.

Ce montant a rapidement doublé pour atteindre plus de 5,4 millions d’euros lorsque le paiement n’a pas été effectué dans les délais impartis.

Les retombées de l’attaque ont été immenses, ce qui n’est pas surprenant étant donné que Travelex est le plus grand fournisseur de services de change dans le monde. De nombreuses banques et détaillants comptent sur cette société pour assurer leurs services de change.

Sans accès à ces services en ligne, les services de change ont cessé de fonctionner. Il a fallu deux semaines à Travelex pour commencer à remettre certains de ses services en ligne, mais son site Web était resté en panne, sans compter les perturbations que cela a engendrées.

Les attaquants ont affirmé avoir volé de grandes quantités de données clients à Travelex. Ils ont menacé de publier ou de les vendre si la rançon n’était pas payée. Cette tactique est de plus en plus prisée par pirates pour attaquer les organisations via des ransomwares.

Dans ce cas, le groupe derrière Sodinokibi a prétendu avoir eu accès aux systèmes Travelex 6 mois auparavant et a déclaré avoir volé des données client, notamment des noms, des informations de carte de paiement, des numéros de sécurité sociale et des numéros d’assurance nationale.

Il affirmait également avoir récemment attaqué la société informatique américaine Artech Systems et avait publié 337 Mo de données volées lors de cette attaque, ceci afin de démontrer que ce n’était pas une menace vide de sens.

Travelex a soutenu qu’aucune donnée client n’avait été volée, mais cela reste à confirmer.

Avertissement émis à propos des attaques de phishing contre Travelex

Les clients de Travelex doivent naturellement faire preuve de prudence et surveiller leurs comptes pour détecter tout signe d’utilisation frauduleuse de leurs informations. Force est toutefois de constater qu’il existe d’autres risques d’une attaque comme celle-ci.

Travelex a émis un avertissement à ses clients, leur recommandant d’être vigilants à propos des attaques de phishing par e-mail et par téléphone. Les escrocs profitent souvent d’événements majeurs tels que celui-ci, comme ce fut le cas lors d’une atteinte à la protection de données contre la société TalkTalk.

Ces escroqueries par phishing sont susceptibles d’être plus efficaces sur les clients de Travelex qui ont perdu de l’argent à la suite de l’attaque. En effet, les pirates peuvent proposer une offre d’indemnisation ou de remboursement, en utilisant ce leurre pour duper leurs victimes.

Pour les consommateurs, le conseil est de ne jamais ouvrir les pièces jointes aux e-mails ou de cliquer sur les liens dans les e-mails non sollicités. Les entreprises doivent également prendre des mesures pour protéger leurs réseaux contre les malwares et les attaques de phishing.

Les entreprises devraient adopter une stratégie de défense en profondeur pour se protéger contre les escroqueries par phishing et les attaques de malwares.

Une solution de sécurité des e-mails avancée telle que SpamTitan doit être utilisée pour protéger les comptes Office 365. SpamTitan améliore la protection contre les malwares du type « zero day » et les menaces de phishing et bloque les menaces au niveau de la passerelle.

Une solution de filtrage Web telle que WebTitan doit être utilisée pour bloquer le composant web des campagnes de phishing, les malwares envoyés par e-mails, et empêcher les utilisateurs finaux de visiter des sites web malveillants. La formation des utilisateurs finaux est également indispensable.

Il est important d’enseigner aux employés comment identifier les e-mails de phishing et ceux qui sont susceptibles de diffuser des malwares, puis de les former à la façon de répondre aux e-mails suspects qu’ils reçoivent.

Phishing : une nouvelle attaque ciblait les banque canadiennes depuis 2 ans

Phishing : une nouvelle attaque ciblait les banque canadiennes depuis 2 ans

Les clients des banques canadiennes ont été ciblés par des cybercriminels dans le cadre d’une vaste campagne de phishing qui s’est déroulé depuis au moins deux ans, selon Check Point Research qui a découvert la campagne.

Comme pour beaucoup d’autres escroqueries de phishing financier, les attaquants usurpent le site web d’une banque connue, en créant une copie virtuelle de la page d’accueil et en utilisant un domaine ressemblant, qui ne diffère souvent du nom de domaine authentique que par une ou deux lettres.

Un lien vers le site frauduleux est ensuite envoyé dans le cadre d’une campagne de spam de masse à des adresses électroniques sur le domaine de premier niveau du pays où la banque opère. Ces emails invitent les utilisateurs à visiter le site web de la banque et à se connecter, généralement sous le couvert d’une alerte de sécurité.

Lorsque l’utilisateur clique sur le lien contenu dans le courriel, il est dirigé vers le site usurpé et peut ne pas remarquer que le nom de domaine n’est pas tout à fait correct. Il saisit alors ses identifiants de connexion qui sont capturés par les escrocs. Ces informations sont ensuite utilisées pour effectuer des virements électroniques frauduleux vers des comptes contrôlés par les pirates.

Dans le cadre de cette campagne, les emails comprennent une pièce jointe en format PDF. Les fichiers PDF ont tendance à être plus fiables que les documents Word et les feuilles de calcul, que les utilisateurs finaux ont généralement reçu pour instruction de traiter comme des documents suspects.

Le fichier PDF comprend un lien hypertexte que l’utilisateur est invité à cliquer. Comme l’hyperlien se trouve dans le document plutôt que dans le corps du message, il est moins susceptible d’être détecté par les solutions de sécurité des emails et a plus de chances d’être livré dans les boites de réceptions des victimes.

L’utilisateur est informé qu’il doit mettre à jour son certificat numérique pour continuer à utiliser le service bancaire en ligne. Le fichier PDF comprend le logo de la banque et un code de sécurité qu’il doit entrer lorsqu’il se connecte. Le code est inclus dans la pièce jointe du PDF plutôt que dans le corps du message pour des raisons de sécurité.

Comme pour la plupart des attaques de phishing, le message semble urgent. Le destinataire est informé que le code expire dans 2 jours et qu’il doit s’inscrire dans ce délai pour éviter de voir son compté bloqué.

Les pages d’atterrissage des sites web malveillants sont identiques à celles utilisées par les banques, car les attaquants ont simplement pris une capture d’écran de la page d’atterrissage de la banque légitime. Des zones de texte ont été ajoutées où le nom d’utilisateur, le mot de passe et le numéro de jeton doivent être saisis. Les utilisateurs sont ensuite invités à confirmer les détails qu’ils ont saisis pendant que les attaquants tentent d’accéder à leur compte en temps réel et d’effectuer un transfert frauduleux.

Ces tactiques ne sont pas nouvelles. Les escroqueries de ce type sont monnaie courante. Ce qui est surprenant, c’est la durée pendant laquelle la campagne n’a pas été détectée. Les escrocs ont pu opérer sans être détectés en enregistrant de nombreux domaines similaires qui sont utilisés pendant une courte période. Des centaines de domaines différents ont été enregistrés et utilisés dans l’arnaque. Au moins 14 grandes banques canadiennes ont vu leurs pages de connexion usurpées, dont TD Canada Trust, la Banque Scotia, la Banque royale du Canada et la BMO Banque de Montréal.

Tous les sites web utilisés dans l’escroquerie ont maintenant été démantelés, mais il est pratiquement garanti que d’autres domaines similaires seront enregistrés et que d’autres escroqueries seront menées.

Fuite de données dans l’hôtellerie : les conséquences du vol de 700 000 dossiers clients

Fuite de données dans l’hôtellerie : les conséquences du vol de 700 000 dossiers clients

En juillet 2019, une brèche a été découverte dans la société mondiale d’hôtellerie Choice Hotels.

La brèche impliquait une base de données MongoDB hébergée par un fournisseur qui fournit des services à la société. Comme beaucoup d’autres brèches, elle est passée complètement inaperçue du personnel interne, mais a été découverte par un consultant en sécurité externe qui scanne périodiquement Internet à la recherche de connexions ouvertes.

La base de données a été exposée au monde extérieur par le biais d’une connexion ouverte qui ne nécessitait aucun mot de passe ou d’autres moyens d’authentification pour y accéder. Lors de la découverte de la brèche, le consultant a trouvé une carte de visite numérique. Le pirate a annoncé qu’il était en possession de la base de données client, et demandait une rançon de 3900 euros.

L’intrus avait l’intention de chiffrer la base de données, mais la tentative a échoué. La base de données volée était donc restée intacte, car la société l’a sécurisée et a fermé la connexion dans les quatre jours suivant la découverte.

Fuite de données dans l’hôtellerie : 700 000 invités ont vu leurs données personnelles exposées

La base de données contenait 5,7 millions d’enregistrements, bien que Choice Hotels ait déclaré que la plupart d’entre eux étaient des enregistrements tests et que seulement 700 000 étaient des clients réels.

Les enregistrements de ces anciens clients comprenaient des informations personnelles :

  • Noms complets
  • Adresses
  • Numéros de téléphone
  • emails
  • Statuts de consentement.

La direction de l’entreprise a insisté sur le fait qu’aucune information relative aux paiements, aux mots de passe ou aux réservations n’était compromise.

Ils ont également déclaré que l’entreprise contacterait les clients concernés dans les jours à venir.

Menaces futures pour 700 000 clients

Ces 700 000 clients peuvent sans aucun doute exhaler un soupir de soulagement du fait qu’aucune information de paiement ou donnée hautement confidentielle n’était impliquée. Cependant, ce n’est pas parce qu’il n’y avait pas eu d’impacts financiers que ces personnes sont hors de danger.

C’est l’une des idées fausses concernant les fuites de données importantes.

Imaginez que vous êtes l’une des 700 000 personnes dont les informations ont été exposées. Un pirate possède maintenant l’accès à votre adresse électronique et possède votre numéro de téléphone portable. Il y a de fortes chances que vous soyez victime d’un nombre croissant d’attaques de phishing au cours des prochaines années, car le monde criminel sait désormais qu’il dispose d’une véritable adresse électronique fonctionnelle.

Même si l’auteur initial de la menace n’utilise pas l’adresse volée, il la vendra dans le cadre d’une transaction de masse portant sur des milliers d’adresses électroniques. Il en va de même pour le phishing par SMS.

Cela va au-delà du simple nombre croissant d’attaques potentielles de phishing. Les escrocs peuvent utiliser les données personnelles actuellement en leur possession pour rendre leurs attaques plus convaincantes.

Les futurs auteurs pourraient même se faire passer pour Choice Hotels et tenter d’obtenir des informations plus sensibles. Les conséquences sur le long terme d’une violation de données sont nombreuses et les malheureuses victimes pourraient être leurs prochaines cibles de pirates dans les années à venir.

Les leçons à tirer de cette fuites de données

De nombreuses entreprises se tournent actuellement vers le cloud pour garantir la sécurisation des données essentielles à leur activité. Ironiquement, l’un des principaux facteurs de motivation des pirates est lié à la sécurité.

Si le transfert d’applications web à un tiers peut être un moyen de répercuter le coût et la charge de la sécurisation de vos systèmes, il n’en demeure pas moins que vous ayez la responsabilité de protéger ces données. C’est pourquoi il est essentiel de contrôler tous vos fournisseurs.

Cela devrait inclure une demande formelle de vous fournir les mesures, contrôles et normes de sécurité informatique qu’ils ont mis en œuvre.

Cette brèche est un autre exemple de l’impact d’une connexion ouverte sur l’internet. En janvier 2017, les pirates informatiques ont ciblé près de 28 000 sites MongoDB non authentifiés. MongoDB a répondu que la plupart de ces attaques étaient dues à des paramètres mal configurés, à un manque d’application d’authentification et à des systèmes mal patchés.

Qu’il s’agisse de la base de données d’une grande entreprise ou d’une simple connexion RDP, l’ère des connexions ouvertes est révolue. Choice Hotels et son fournisseur ont tous deux eu la chance que seul un amateur les ait infiltrés. Un professionnel expérimenté aurait pu détourner le serveur et l’utiliser pour diffuser des malwares.

La dépendance continue des solutions de sécurité email

Il y a une autre conséquence cachée de cette fuite et d’autres fuites similaires qui sont menées à grande échelle. Il n’y a pas que les emails personnels qui ont été compromis. De nombreuses personnes font des réservations ou des transactions en ligne en utilisant leur compte de messagerie professionnel.

Cela signifie que leurs employeurs en subiront également les conséquences. Les cybercriminels peuvent s’introduire rapidement dans le serveur d’une organisation et lançant d’autres types d’attaques.

Une fois qu’ils arrivent à compromettre le réseau de l’entreprise, ils peuvent effectuer une reconnaissance pour connaître la culture communicative de l’organisation d’accueil et, plus important encore, qui contrôle les factures et la paie.

C’est à cause de la brèche dans la sécurité de Choice Hotels et de tant d’autres incidents de cybersécurité qui se produisent quotidiennement que toutes les entreprises doivent lutter avec diligence contre le phishing, le BEC (Business Email Compromise, ou arnaque au président) et d’autres types d’attaques via la messagerie électronique.

SpamTitan et son portefeuille de contrôles de sécurité tels que la double protection antivirus, le sandboxing, la prévention des fuites de données, le filtrage du contenu des emails et l’authentification DMARC peuvent garantir que votre entreprise et vos utilisateurs ne sont pas victimes de la négligence d’un tiers.

Botnet Emotet : de nouvelles campagnes de spam et de phishing découvertes

Botnet Emotet : de nouvelles campagnes de spam et de phishing découvertes

Le botnet Emotet a pris ses vacances de Noël, mais il est à nouveau opérationnel. Les campagnes massives de phishing et de spam ont également repris. Ces campagnes, qui impliquent des millions de spams, utilisent divers leurres pour inciter les gens à ouvrir une pièce jointe et à activer un contenu.

Le contenu en question comprend une macro qui exécute une commande PowerShell qui, à son tour, télécharge et exécute le cheval de Troie Emotet.

Qu’est-ce que le cheval de troie Emotet ?

Le cheval de Troie Emotet est une mauvaise nouvelle. Emotet n’était autrefois qu’un cheval de Troie bancaire dont le but était de voler des références bancaires en ligne. Il le fait toujours, et bien plus encore. Désormais, Emotet vole aussi les informations d’identification des applications et des navigateurs installés. Il peut se propager automatiquement et envoie des copies de lui-même par email aux contacts de la victime.

Comme si cela ne suffisait pas, Emotet a une autre astuce dans sa manche. Il est également un téléchargeur d’autres variantes de malwares tels que le cheval de Troie TrickBot et le ransomware Ryuk. Ces charges utiles supplémentaires permettent de voler et de vendre des données à des fins lucratives, de chiffrer des fichiers sur le réseau et d’émettre des demandes de rançon. Emotet a également livré des mineurs de crypto-monnaie dans le passé et pourrait livrer n’importe quelle autre charge utile de malwares.

L’ampleur du réseau de botnets est stupéfiante. Au premier trimestre 2019, Emotet était responsable de 6 charges utiles malveillantes sur 10 livrées par la messagerie électronique. Mais même si les acteurs à l’origine des menaces du botnet ont cessé leurs activités pendant près de la moitié de l’année 2019, Emotet reste la principale menace de malwares de l’année.

Des attaques dans le secteur de la santé

Emotet est revenu à la vie le 13 janvier 2020 avec des attaques ciblées sur l’industrie pharmaceutique en Amérique du Nord, mais il n’a pas fallu longtemps pour que les attaques se répandent encore plus loin. Aujourd’hui, plus de 80 pays sont attaqués et en plus de l’anglais, des campagnes ont été détectées en italien, polonais, allemand, espagnol, japonais et chinois.

Les leurres utilisés pour tromper les utilisateurs finaux et pour les inciter à ouvrir les pièces jointes aux emails sont très variés et changent souvent. Des leurres éprouvés tels que les fausses factures, commandes, relevés, accords, avis de paiement, reçus et avis de livraison sont souvent utilisés dans les attaques contre les entreprises, qui sont les principales cibles.

Avant que les attaques de botnets aient fait un répit en décembre, des emails sur le thème de Greta Thunberg étaient utilisés avec des invitations à une fête de Noël.

Les thèmes des emails peuvent changer, mais les messages ont un point commun. Ils demandent à l’utilisateur final d’agir. Il s’agit généralement d’ouvrir un document, une feuille de calcul ou un autre fichier. Il peut également s’agir d’un clic sur un lien hypertexte intégré dans un email. Une fois l’action entreprise, Emotet sera téléchargé en silence.

Comment se protéger des attaques Emotet ?

Il existe deux moyens principaux de bloquer les attaques cybercriminelles et ils sont tous deux nécessaires. le premier consiste à s’assurer que le système de messagerie électronique est sécurisé, ce qui implique la mise en place d’un filtre anti-spam efficace.

Les entreprises qui utilisent Office 365 bénéficient d’un minimum de protection via Exchange Online Protection (EOP), une solution qui est incluse dans les abonnements Office 365. Cependant, elles ne devraient pas compter uniquement sur l’EOP. Comme autre solution, des défenses à plusieurs niveaux sont donc nécessaires.

SpamTitan est un puissant filtre anti-spam qui améliorera la protection contre les menaces de malwares tels qu’Emotet. Il peut être superposé à Office 365 pour assurer une meilleure protection et empêcher les malwares de parvenir aux boîtes de réception de vos employés.

Des moteurs anti-virus sont également incorporés à la solution pour détecter les menaces connues. De plus, SpamTitan comprend une sandbox qui permet d’identifier les menaces que les mécanismes de détection basés sur les signatures ne peuvent pas détecter.

De nombreuses entreprises déploient diverses solutions de sécurité, mais ne préparent pas leurs employés à une éventuelle attaque. Si les emails malveillants passent outre les solutions de sécurité et sont livrés dans les boîtes de réception de vos employés, il suffit que l’un d’entre eux n’arrive pas à repérer la menace et réponde au message pour qu’Emotet, et éventuellement un ransomware, soit installé. Il est donc important d’organiser régulièrement des formations de sensibilisation à la sécurité pour tous les employés de l’entreprise, du PDG jusqu’au personnel d’encadrement. Si vous n’apprenez pas à vos employés comment identifier les emails malveillants, n’attendez pas à ce qu’ils soient capables de repérer les menaces et signalent les messages malveillants à l’équipe de sécurité.

Heureusement, grâce à une combinaison de solutions de sécurité des emails et de formation de sensibilisation à la sécurité, la menace d’Emotet peut être neutralisée. Pour plus d’informations sur la sécurisation des emails, appelez TitanHQ dès aujourd’hui.

L’attaque de ransomware contre Travelex met en lumière l’évolution des tactiques de cyber-rançon

L’attaque de ransomware contre Travelex met en lumière l’évolution des tactiques de cyber-rançon

L’attaque de ransomware contre la société de change britannique Travelex, qui a débuté aux alentours du 31 décembre 2019, est l’une des récentes attaques de cyber-rançon où les acteurs de la menace ont augmenté la mise en menaçant de publier les données volées aux victimes avant le déploiement du ransomware.

Une nouvelle tendance dans les attaques de ransomware

Pour la plupart des attaques de ransomware – en particulier celles menées par des affiliés utilisant des ransomware-as-a-service – le ransomware est déployé instantanément.

Un employé reçoit une pièce jointe malveillante par e-mail. Une fois qu’il ouvre la pièce jointe, le processus de chiffrement est lancé. Aujourd’hui, plusieurs acteurs de la menace ont pris des mesures pour augmenter la probabilité que leur demande de rançon soit payée.

L’Agence de la cybersécurité et de la sécurité des infrastructures du ministère américain de la sécurité intérieure a récemment émis des avertissements sur l’évolution des tactiques de demande de rançon. Elles impliquent désormais le vol de données avant le chiffrement des fichiers. Cette tactique n’est pas nouvelle, car plusieurs groupes de cybercriminels mènent ce type d’attaque depuis un certain temps, et le nombre d’attaques ne fait qu’augmenter.

Dès que les pirates accèdent au réseau de votre entreprise, ils se déplacent latéralement et accèdent au plus grand nombre de dispositifs possible. Ils peuvent voler des données puis déployer des ransomwares. Dans ce type d’attaques, le délai entre la compromission initiale et le déploiement des ransomwares peut généralement prendre plusieurs mois.

Les données peuvent être volées et vendues en ligne avec le ransomware déployé comme un coup de grâce après un compromis à long terme pour extorquer de l’argent à l’entreprise. Aujourd’hui, il est de plus en plus fréquent qu’une menace soit émise en même temps que la demande de rançon et que les données volées soient publiées ou vendues si la rançon n’est pas payée.

Cette tactique a été adoptée par les pirates derrière le ransomware Maze. Ils sont allés de l’avant, en menaçant de publier les données volées au cas où la rançon ne serait pas payée. Les cybercriminels qui utilisent les logiciels MegaCortex et LockerGoga ont également émis des menaces similaires.

Aujourd’hui, le groupe de pirates derrière le ransomware Sodinikibi (REvil) a également changé de tactique et a commencé à menacer leurs victimes de publier les données qu’ils ont volées, et il l’a fait récemment. Il a attaqué Artech Information Systems, l’une des plus grandes sociétés de recrutement de personnel informatique aux États-Unis.

Lorsque la demande de rançon n’a pas été payée, 337 Mo de données volées ont été publiées sur un forum russe de piratage et de malwares. L’attaque de ransomware contre Travelex est l’une des dernières attaques du logiciel Sodinokibi, et les pirates ont également menacé de publier les données volées.

Focus sur l’attaque de ransomware contre Travelex

La veille du Nouvel An, Travelex a mis ses systèmes hors ligne pour contenir l’infection et limiter les dégâts causés. Plus de deux semaines plus tard, les systèmes de Travelex étaient toujours hors ligne, même si la société a commencé à restaurer certains de ses systèmes. Le nombre d’agences touchées par l’attaque – à l’instar des banques et d’autres entreprises qui dépendent de ses services de change – fait de cette attaque l’une des plus graves et des plus dommageables jamais menées.

Étant donné que ses systèmes étaient hors ligne, Travelex n’a pas été en mesure de fournir ses services de change à des banques telles que HSBC, Royal Bank of Scotland, NatWest, First Direct, Barclays et Lloyds, qui dépendent toutes de Travelex pour la fourniture de leurs services de change.

De nombreuses autres entreprises, telles que les chaînes de supermarchés Sainsbury’s et Tesco, ont également dû cesser de fournir des services de change en ligne à leurs clients. Travelex a été contraint de fournir des services manuellement, à l’aide de stylos et de papiers, pour les échanges de devises de gré à gré dans ses succursales. Plus de 70 pays dans lesquels Travelex opère ont été touchés par l’attaque.

Travelex n’a diffusé qu’une quantité limitée d’informations sur l’attaque, mais les pirates ont été en contact avec plusieurs médias. Selon les premiers rapports, les pirates ont reclamé plus de 2,7 millions d’euros contre les clés de déchiffrement des fichiers, mais la demande a doublé pour atteindre plus de 5,4 millions d’euros lorsque la société n’a pas payé la rançon dans les 2 jours prévus. Les pirates ont également menacé de publier les données volées lors de l’attaque si le paiement n’était pas effectué dans les 7 jours.

Travelex a publié une déclaration affirmant qu’aucune donnée client n’avait été violée et que l’infection était contenue. La situation a été maitrisée, même si les pirates derrière Sodinokibi ont menacé de publier les données clients.

Le pirates qui ont lancé l’attaque via Sodinokibi, par l’intermédiaire d’un porte-parole, a déclaré qu’ils avaient volé 5 Go de données clients. Ces informations comprenaient les noms des clients, leurs dates de naissance, les données relatives aux cartes de crédit, les numéros de sécurité sociale et les numéros d’assurance nationale.

Les pirates ont affirmé que toutes les données volées seraient effacées et ne seraient pas utilisées si la demande de rançon était payée. Par contre, les données seraient vendues si la rançon n’était pas payée. Ils ont également déclaré avoir accès aux systèmes informatiques de Travelex 6 mois avant le déploiement du ransomware.

Comment Travelex a-t-il été attaqué ?

On ne sait pas encore exactement comment le ransomware a été installé sur le réseau de la société, mais plusieurs chercheurs en sécurité ont fourni quelques indices. Selon BleepingComputer, Travelex utilisait des services non sécurisés avant l’attaque.

Le chercheur en sécurité Kevin Beaumont a découvert que Travelex avait des serveurs AWS Windows qui n’avaient pas l’authentification au niveau du réseau activée, ce qui aurait pu donner aux attaquants la possibilité de lancer une attaque.

Une vulnérabilité critique dans la solution d’entreprise Pulse Secure VPN pour les communications sécurisées – CVE-2019-11510 – a été identifiée et a été corrigée par Pulse Secure le 24 avril 2019. Le fait est que de nombreuses entreprises ont tardé à appliquer le correctif, malgré les multiples avertissements de Pulse Secure.

Troy Mursch, directeur de recherche chez Bad Packets, a découvert que Travelex n’avait pas appliqué le correctif au moment où un kit d’exploitation de la vulnérabilité a été publié. Les pirates derrière Sodinokibi ont déclaré avoir compromis le système informatique de Travelex 6 mois avant le déploiement du ransomware.

La reprise est maintenant bien engagée

Le 13 janvier 2020, plus de deux semaines après l’attaque de ransomware, Travelex a publié une déclaration confirmant que le processus de récupération était bien engagé, bien que le site web de l’entreprise soit toujours hors ligne.

La société avait commencé à rétablir ses services de change auprès des banques et de son propre réseau. Le traitement interne des commandes a été rétabli et les systèmes de contact avec la clientèle ont été lentement remis en ligne.

Ce que Travelex n’a pas confirmé, c’est si la société a payé ou non la rançon. Aucune donnée de Travelex ne semble avoir été publiée en ligne, il est donc possible qu’un paiement de rançon ait été négocié avec les attaquants.

Coût de l’attaque de ransomware contre Travelex

Le montant de la rançon était considérable, mais cela ne représente qu’une partie du préjudice si on considère les coûts d’arrêt et de perturbation des services subis par la société.

Aucune donnée client ne semble avoir été mal utilisée, mais Travelex pourrait encore faire face à une avalanche de poursuites de la part de clients, du commissaire à l’information et à la protection de la vie privée et d’autres autorités de protection des données. Travelex a subi d’énormes préjudices, non seulement pour la violation des données de leurs clients, mais aussi pour l’exposition des données ou encore pour le défaut de déclaration dans le cadre du RGPD.

Le RGPD exige que les violations de données soient signalées aux autorités compétentes dans un délai de 72 heures, mais il semble que cela n’ait pas été fait. La sanction financière maximale pour une violation de données selon le RGPD est de 20 millions d’euros ou de 4% du chiffre d’affaires annuel global d’une entreprise, le montant le plus élevé étant retenu.

En 2018, le chiffre d’affaires annuel mondial de Travelex s’élevait à plus de 859 millions d’euros. Une amende de plus de 171 millions d’euros pourrait donc être infligée à la société.

Il convient de noter que même si les données n’ont pas été volées par les attaquants et qu’elles ont simplement été rendues inaccessibles, cela peut être considéré comme une violation de données à signaler dans le cadre du RGPD.

Un paiement de plus de 54,4 millions d’euros ne représenterait qu’une infime partie des pertes totales dues aux temps d’arrêt, aux pertes d’activité, aux poursuites judiciaires et aux amendes réglementaires subis par la société.

Ransomware Ako : une nouvelle menace de malware livrée via le spam

Ransomware Ako : une nouvelle menace de malware livrée via le spam

Un nouveau ransomware dénommé Ako est apparue. Ce dernier cible les réseaux commerciaux et est distribué via le spam. Il est proposé aux affiliés selon le modèle « Ransomware as a Service ».

Le but des attaquants est clair : maximiser la probabilité de paiement de la rançon en rendant la récupération des données et des fichiers chiffrés plus difficile et en volant des données avant leur chiffrement pour garantir que l’attaque est toujours rentable même si la rançon n’est pas payée.

Le fait que les pirates possèdent les données de la victime pourrait également la convaincre de payer, comme nous l’avons vu dans les récentes attaques impliquant les ransomwares Maze et Sodinokibi, où les pirates menaçaient de publier des données volées si la rançon n’était pas payée.

Comment fonctionne le ransomware Ako ?

Les développeurs du ransomware Ako semblent opter pour des paiements de rançon importantes, car ils ne ciblent pas les postes de travail individuels, mais l’ensemble d’un réseau.

Le ransomware analyse les réseaux locaux à la recherche d’autres appareils et chiffre les partages réseau. Puis il supprime les clichés instantanés qui sont enregistrés sur le système et les sauvegardes récentes. Il désactive également les anciens points de restauration Windows pour rendre la récupération plus difficile si la victime ne paye pas la rançon.

Les fichiers chiffrés reçoivent une extension de fichier générée de manière aléatoire et conservent leurs noms de fichier d’origine. Le montant de la rançon n’est pas indiqué dans la notification de rançon. Les victimes doivent contacter les attaquants pour savoir combien ils devront payer pour obtenir les clés permettant de déchiffrer leurs fichiers.

De quel type d’email faut-il se méfier ?

L’un des e-mails interceptés, et qui ont été utilisés pour distribuer le ransomware, utilise un fichier zip protégé par mot de passe en tant que pièce jointe. L’e-mail semble être un accord commercial que le destinataire est invité à vérifier.

Le mot de passe pour ouvrir et extraire le fichier est inclus dans le corps du message. Le fichier zip attaché, nommé agreement.zip, contient un fichier exécutable qui installera le ransomware Ako une fois qu’il sera exécuté. Le fichier malveillant est appelé agreement.scr.

Comment récupérer ses données suite à une attaque d’Ako ?

Il n’y a pas de déchiffreur gratuit pour le ransomware Ako. La victime ne pourra pas récupérer leurs données si elle ne paye pas la rançon, sauf si celle-ci dispose des sauvegardes viables, c’est-à-dire des données qui n’ont pas été chiffrées par les pirates.

Il est donc important de s’assurer que les sauvegardes sont effectuées régulièrement et qu’au moins une copie de la sauvegarde est stockée sur un appareil non connecté au réseau pour éviter qu’elle ne soit également chiffrée par le ransomware. Les sauvegardes doivent également être testées pour s’assurer que la récupération de fichiers soit possible en cas d’incident.

Comment se protéger contre le ransomware Ako ?

Étant donné que le ransomware Ako est distribué via le spam, cela donne aux entreprises la possibilité de bloquer une attaque. Une solution de filtrage anti-spam avancée doit être implémentée pour analyser tous les messages entrants à l’aide de divers mécanismes de détection.

La solution doit également permettre d’identifier les menaces de malware et de ransomware. Par ailleurs, il faut utiliser un Sandbox, une fonctionnalité importante qui permettra d’analyser en toute sécurité les pièces jointes des e-mails pour détecter toute activité malveillante. Cette fonctionnalité améliorera les taux de détection des menaces du type « zero day ».

La formation des utilisateurs est aussi importante pour garantir que les employés n’ouvrent aucun fichier potentiellement malveillant qu’ils reçoivent par e-mail. La formation devrait obliger les employés à ne jamais ouvrir les pièces jointes dans les e-mails non sollicités provenant d’expéditeurs inconnus. Comme le montre cette campagne, tout fichier protégé par mot de passe envoyé dans un e-mail non sollicité doit être considéré comme une menace importante. En général, c’est la manière la plus courante que les pirates utilisent pour distribuer des ransomwares et des malwares, tout en évitant la détection par des solutions antivirus et des filtres anti-spam.

Les solutions anti-spam et les logiciels antivirus ne pourront pas détecter directement la menace si des fichiers malveillants sont envoyés dans des archives protégées par mot de passe. Les règles doivent donc être définies pour mettre en quarantaine les fichiers protégés par mot de passe, lesquels ne devraient être libérés qu’après avoir été vérifiés manuellement par un administrateur. Avec SpamTitan, ces règles sont faciles à définir.

Le ransomware Ako est l’une des nombreuses nouvelles menaces de ransomware publiées ces derniers mois. Si on compte les attaques de grande envergure contre des entreprises, comme celle menées contre Travelex, qui voient des demandes massives de rançon émises et qui sont dans la plupart des cas payées, les pirates réalisent des gains importants.

Les développeurs de ransomwares continueront de développer de nouvelles attaques tant que celles-ci resteront rentables, et il est peu probable que les affiliés soient prêts à lancer des campagnes de spam pour obtenir leur part d’argent sur les rançons.

Face à l’augmentation des attaques cybercriminelles, il est essentiel que vous disposiez de défenses solides, capables de détecter et de bloquer les malwares, les ransomwares et les menaces de phishing. C’est un domaine où TitanHQ peut vous aider.

Pour en savoir plus sur la façon dont vous pouvez améliorer vos défenses contre les e-mails malveillants et sur les menaces web, appelez l’équipe TitanHQ dès aujourd’hui.