Blog
par Editeur | Avr 27, 2022 | Cybersécurité et télétravail, Malwares, Phishing, Ransomware, Sécurité des données, Sécurité des emails, Sécurité Internet
Les attaques par rançongiciel ont connu une croissance exponentielle au cours de la dernière décennie ; les cyber-pirates se concentrent maintenant sur les entreprises et les compagnies industrielles pour obtenir un maximum d’argent de leurs méfaits. Les créateurs de logiciels malveillants ont produit plusieurs variantes de rançongiciels cette année, spécialement conçues pour s’en prendre à certains domaines industriels et à de grandes entreprises. La cybersécurité en a pâti, car de nombreux utilisateurs ont télé-travaillé en 2020, ce qui les a rendus plus sujets au piratage, les cybercriminels ayant travaillé sur de nombreuses variantes au cours de 2021. Le succès rencontré par ces logiciels pirates est tel qu’on peut être sûr que ces escrocs ne s’arrêteront pas de si tôt ! Il est dont primordial pour les entreprises de prendre connaissance des dernières variantes de rançongiciels, ce qui leur permettra de s’en protéger.
Pourquoi attaquer les entreprises et les sociétés commerciales ?
Les anciennes versions de rançongiciels ciblaient principalement les utilisateurs, individuellement. La victime ouvrait généralement un mail frauduleux avec une pièce jointe contenant un fichier corrompu ou un lien de téléchargement de malware. Le logiciel pirate lançait alors un scan de l’ordinateur, trouvait des images et des documents importants sur le disque dur, les cryptait et demandait ensuite une rançon pour que l’utilisateur obtienne la clef de décryptage et retrouve l’accès à ses propres fichiers. Les variantes de ces rançongiciels allaient jusqu’à verrouiller le système Windows, empêchant les utilisateurs d’accéder au moindre fichier.
Une fois que le rançongiciel avait crypté les éléments, la victime devait soit payer les cybercriminels, soit réinitialiser son ordinateur et réinstaller tous ses logiciels. Ce second cas de figure supposait que l’utilisateur perdait de fait tous ses documents importants ; voilà pourquoi la plupart des victimes choisissaient de payer la rançon. Malheureusement, céder au chantage du cyber-pirate ne garantit pas toujours le recouvrement de ses fichiers… Les escrocs, une fois l’argent reçu, peuvent choisir de ne pas donner la clef de décryptage à leurs victimes, qui ne récupèrent donc jamais leurs documents.
Les rançongiciels attaquant les utilisateurs individuellement collectent pour le cyber-pirate plusieurs centaines de dollars en Bitcoin, mais les entreprises ont beaucoup plus d’argent. Une grande compagnie peut ainsi payer des millions de dollars de rançon en cas de cyber-attaque, et de nombreuses variantes de rançongiciels demandent systématiquement un paiement à 7 chiffres. Il suffit alors d’une seule opération menée contre une entreprise à un cybercriminel pour obtenir un revenu très confortable avant de disparaître, contre plusieurs attaques sur des particuliers ne rapportant que quelques centaines de dollars.
Des attaques élaborées extorquent aussi une rançon contre des données volées
Ces dernières années, des variantes de rançongiciels extorquent de l’argent aux entreprises d’une nouvelle manière. Le chantage aux particuliers les menaçant de poster leurs données sur des réseaux sociaux n’est plus rentable ; en revanche, rendre publiques des gigabytes de données dérobées à de grandes entreprises peut causer de gros problèmes. C’est là que réside la menace des nouvelles variantes de rançongiciels, en cas de non-paiement de la rançon.
Par exemple, la variante du rançongiciel Conti permettra non seulement de crypter les données dérobées, mais aussi de faire du chantage aux entreprises ciblées pour une somme d’argent supplémentaire afin que ces données ne soient pas révélées publiquement. Récemment, à la suite d’une cyber-attaque, le gouvernement écossais a vu 1,2 gigabytes de données sensibles exposées après son refus de payer la rançon exigée.
Les cybercriminels les plus habiles utilisent la variante du rançongiciel Egregor pour cibler spécifiquement les enseignes industrielles et les secteurs spécialisés dans le service : récemment, ils s’en sont pris au géant libraire Barnes and Nobles, les attaquant par hameçonnage, et il a suffi qu’une seule victime se laisse duper pour obtenir l’accès au paiement en réseau de l’entreprise. Le rançongiciel Egregor a remplacé le rançongiciel Maze après que de nouveaux correctifs et mises à jour de sécurité ont bloqué les attaques compromettantes de Maze sur les réseaux internes.
ZDNet rapporte que 80% des variantes de rançongiciels se basent sur les systèmes de Maze, Sodinokibi, Conti, and Netwalker. Ces variantes concentrent leurs attaques sur les compagnies versant des sommes importantes le jour de paie, permettant aux cybercriminels de voler des millions en une seule attaque savamment planifiée. Les rançongiciels plus anciens comme DoppelPayer ont quasiment disparu, remplacés par les dernières variantes capables d’attaquer les entreprises comportant des térabytes de données à exfiltrer.
Ce que vous pouvez faire pour protéger votre entreprise
La plupart des attaques par rançongiciels commencent avec un mail hameçon. La meilleure défense consiste donc à protéger votre messagerie. Si votre serveur d’emails filtre les mails frauduleux, les risques seront largement réduits. Ce filtrage est bien plus efficace que la formation à la cybersécurité de vos employés ; cette formation ajouterait un niveau de protection supplémentaire, mais elle n’arrêtera pas les cyber-attaques avancées qui comportent des éléments de manipulation psychologique.
Les logiciels de filtrage des emails analysent le contenu du message, détectent les liens frauduleux et les pièces jointes nocives. Ils mettent en quarantaine les messages qui ne sont pas conformes aux conditions de validation. Ce sont alors les administrateurs qui vérifient ces messages suspects pour observer les tentatives d’attaques et valider manuellement les faux-positifs, transférés ensuite dans les boîtes mails de leurs destinataires respectifs.
La formation des employés est toujours un plus, mais elle ne peut pas suffire à bloquer l’hameçonnage et à contrer les rançongiciels. Vous aurez besoin d’un solide système de cybersécurité pour votre messagerie.
Protégez votre compagnie de l’hameçonnage et des attaques par rançongiciel avec SpamTitan et sa protection avancée de votre messagerie. Pour savoir comment SpamTitan opère, regardez la démo dès aujourd’hui.
par Editeur | Avr 20, 2022 | Cybersécurité et télétravail, Sécurité des données, Sécurité réseau, Sécurité WiFi
La connexion sans fil est aujourd’hui omniprésente. On se connecte en Wi-Fi tous les jours sur différents points, que l’on croit sûrs et fiables. En vérité, ils ne le sont pas, comme le révèle une récente étude menée par une équipe de chercheurs en cyber-sécurité du magazine informatique allemand CHIP : ils ont trouvé, au total, 226 cyber-failles potentielles dans 9 des routeurs Wi-Fi les plus populaires du moment. La liste des appareils inclut Netgear Nighthawk AX12, Asus ROG Rapture GT-AX11000, Edimax BR-6473AX, Linksys Velop MR9600, AVM FritzBox 7530 AX et AVM FritzBox 7590 AX. En haut de la liste se trouvait TP-Link Archer AX6000 avec 32 failles, suivi de Synology RT-2600ac qui en comporte 30. Un membre du groupe de chercheurs a déclaré : « cette étude a malheureusement dépassé de très loin tout ce que nous imaginions ; c’est une vraie déception quant à la sécurité que nous pensions avoir à la maison et sur les routeurs des petites entreprises ».
L’obsolescence des logiciels est la première cause du phénomène
Il n’est pas surprenant que la première explication du problème réside dans l’ancienneté des logiciels, dépassés : la plupart des machines fonctionnaient avec une version obsolète du noyau Linux. Il y avait aussi quelques ajouts, comme un VPN et un streaming multimédia opérant sur logiciel daté. Plusieurs équipements s’appuyaient trop sur d’anciennes versions de BusyBox combinant plusieurs petites versions de services UNIX rassemblées en un seul programme exécutable. Pour être honnête, le groupe a précisé que si l’on se base sur le prix initial des équipements, le coût engendré par l’intégration d’un nouveau noyau dans le microprogramme (le firmware) des machines ne serait pas rentable. L’équipe de chercheurs a également analysé les versions du microprogramme sur plus de 5000 cyber-failles et divers autres cyber-problèmes. Si les équipements sont effectivement vulnérables face à ces cyber-failles, la plupart d’entre elles sont de moindre importance ; une infime minorité d’entre elles présentent une menace critique.
La responsabilité de l’utilisateur
La plupart des routeurs sans fil réalise sa mise à jour automatiquement pour la dernière version en date. Il en est de même pour le microprogramme, pourvu que l’utilisateur active cette fonction. Voilà pourquoi il est essentiel pour les utilisateurs de vérifier leurs routeurs régulièrement et de les mettre à jour. Trop souvent, les utilisateurs déploient ces routeurs et les oublient. Mais l’expression « loin des yeux, loin du cœur » ne devrait pas s’appliquer à la technologie ! Il est essentiel que les utilisateurs configurent les mises à jour automatiques dès le déploiement, quand c’est possible. Certains routeurs doivent toutefois être mis à jour manuellement. Cela suppose le téléchargement de la dernière version depuis le site du créateur et la mise à jour par ordinateur. Certains utilisateurs sont intimités par ce processus, tandis que d’autres le remettent simplement à plus tard, indéfiniment. Si les mises à jour des routeurs réseau ne sortent pas régulièrement, appliquer un correctif à un routeur sans fil devrait être aussi urgent que ça l’est pour un ordinateur équipé de Windows 10.
Les fournisseurs réagissent à ce constat
L’équipe de chercheurs a informé les fournisseurs des résultats de leur étude et chacun a entrepris de remédier aux cyber-problèmes. Asus les a pour sa part tous résolus et a corrigé la version obsolète de BusyBox, ainsi que quelques logiciels associés. D-Link, Edimax et Linksys ont sorti des mises à jour pour microprogrammes afin de parer au problème. Netgear a lui aussi donné une mise à jour visant à résoudre les menaces critiques, tandis que Synology a publié une importante mise à jour pour le noyau Linux. Ils ont aussi mis à jour BusyBox et PHP. TP-Link a de son côté choisi de s’attaquer aux cyber-failles critiques et s’est engagé à fournir prochainement une solution pour 50 problèmes sur le système.
Changer de mot de passe par défaut
L’une des menaces les plus importantes révélées par l’enquête est l’utilisation d’un mot de passe d’administration aussi simple que « admin ». Si un tel mot de passe peut sembler ridicule, les identifiants par défaut des équipements sont faciles à trouver sur internet ; en conséquence, le mot de passe par défaut est lui aussi très facile à trouver. Si l’obsolescence des logiciels est évidemment un problème, l’utilisation d’un mot de passe très faible est une faille plus grave encore pour les routeurs sans fil. Il est essentiel que les utilisateurs changent de mot de passe d’administration pour un code complexe dès la première utilisation de l’appareil. Sans cela, des imposteurs peuvent se connecter à votre routeur sans fil et en prendre le contrôle. De nombreux ordinateurs demandent aujourd’hui à l’utilisateur de créer un mot de passe dès la première utilisation.
Conclusion
Finalement, les routeurs sans fil sont comme les autres appareils en réseau et les ordinateurs : ils ont besoin d’être régulièrement mis à jour pour combler leurs lacunes et éviter qu’elles ne soient exploitées par des attaques pirates. C’est encore une fois l’absence d’un mot de passe robuste qui permet aux cybercriminels de prendre le contrôle des appareils. Si les fournisseurs doivent faire davantage d’efforts pour concevoir des équipements en gardant la cyber-sécurité à l’esprit, l’utilisateur doit lui aussi prendre ses responsabilités : la sécurité est l’affaire de tous.
par Editeur | Avr 6, 2022 | Sécurité Internet
Les cyber-attaques par rançongiciel peuvent vous coûter plus qu’une simple perte financière : vous encourrez des poursuites judiciaires, si vous payez.
Les confinements de 2020 et 2021 ont provoqué la hausse des cyber-attaques, en particulier celles menées par rançongiciel et par hameçonnage. Tandis que de plus en plus de gens télé-travaillent et espèrent davantage de revenus, les cybercriminels gagnent des millions, car c’est en moyenne une victime sur quatre qui paie la rançon exigée. Leurs attaques visent les entreprises et les institutions gouvernementales. En conséquence, l’organisme de contrôle financier des États-Unis appelé « Department of the Treasury’s Office of Foreign Assets Control », ou « OFAC », a publié un communiqué visant à prévenir les utilisateurs informatiques que des sanctions sont prévues s’ils venaient à céder aux cyber-menaces ou à payer les rançons exigées.
Rançongiciel et Hameçonnage
Avec la hausse du nombre de leurs employés en télétravail, les entreprises sont dorénavant obligées de leur fournir un accès à distance au système interne et aux ressources en réseau si elles veulent rester productives. Si c’est déjà une formalité pour les grands groupes, cela représente toutefois un défi pour les petites entreprises qui doivent trouver un système à la fois suffisamment simple pour les recrues et suffisamment sécurisé pour parer les cyberattaques. Les cybercriminels sont en effet très bien informés : ils savent pertinemment que la plupart des employés en télétravail n’ont pas de cyberdéfense capable de les protéger contre les rançongiciels et l’hameçonnage, de plus en plus sophistiqués. Ils ont donc vu là une opportunité aisée et lucrative de compromettre les ordinateurs dans les foyers.
Les attaques par rançongiciel et par hameçonnage font des ravages ; il faut toutefois noter que les rançongiciels commencent leur offensive par hameçonnage. Il peut s’agir d’une attaque ciblée (on parle alors d’harponnage), ou d’attaque au hasard d’un employé lambda après une phase de reconnaissance. Cette phase de la cyber-attaque consiste à consulter les réseaux sociaux et LinkedIn pour identifier les meilleures cibles. Une fois que les cybercriminels ont choisi leur proie et examiné le type d’entreprise dont il est question, ils envoient un mail frauduleux avec un logiciel malveillant en pièce jointe. Une alternative consiste à envoyer un message contenant un lien vers un serveur hébergeant le logiciel malveillant.
Ce qui rend le rançongiciel particulièrement dangereux ? Le fait que l’on ne peut pas l’éradiquer de l’ordinateur sans sauvegarde ; malheureusement, le rançongiciel scanne le réseau à la recherche de fichiers vulnérables et les crypte. La seule façon de récupérer ces fichiers pour une cible qui n’a pas de sauvegarde consiste à payer la rançon. Mais en payant la rançon, l’OFAC affirme que les victimes facilitent et encouragent la cybercriminalité.
La réponse de de l’OFAC aux cyber-incidents et les sanctions prévues
Le nouveau communiqué de l’OFAC a compliqué la tâche pour le service client : parfois, la seule option consiste à essayer de payer la rançon, mais le logiciel accroit la somme due si elle n’est pas réglée dans un court délai. Les cybercriminels fixent délibérément une rançon de quelques milliers de dollars, ce qui reste dans les moyens des individus et des entreprises, les incitant à payer plutôt que de prendre le risque de tout perdre, faute de sauvegardes.
Toutefois, cette action est désormais passible de sanctions décidées par l’OFAC, et le service client peut alors se retrouver en contradiction avec la législation. Et pour rendre le problème plus complexe encore, le gouvernement oblige les entreprises à enregistrer le nom de leurs partenaires en transactions, alors que les cybercriminels font tout pour cacher leur identité. Les rançongiciels intègrent pour cela une fausse adresse mail dirigeant le paiement vers un portefeuille de crypto-monnaie. Ces deux seuls éléments ne permettent pas d’identifier un cyber-pirate. Les adresses liées au Bitcoin ne sont pas anonymes, mais les cybercriminels « blanchissent » la crypto-monnaie pour éviter d’être tracés et retrouvés.
On demande aux victimes des rançongiciels d’alerter les forces de l’ordre, mais porter plainte peut engendrer trop de frais pour les individus. Pour les entreprises, collecter les preuves d’un vol de données impacte négativement la productivité, si l’employé visé ne dispose que d’un seul ordinateur pour travailler. Pour une entreprise de taille moyenne, formater l’ordinateur et le restaurer d’après une sauvegarde est une solution à moindre coût face à la préservation des preuves nécessaires à un recours en justice.
La meilleure défense consiste en une stratégie anti-hameçonnage et anti-rançongiciel dynamique
L’attaque la plus commune en matière de rançongiciel cible des victimes qui reçoivent plusieurs mails frauduleux. Pour stopper cet hameçonnage de masse, les entreprises ont besoin d’une stratégie anti-hameçonnage avec un filtre de serveurs d’emails et une mise en quarantaine. Les filtres d’emails sont capables d’identifier les pièces jointes corrompues ainsi que les liens suspects et de les mettre en quarantaine dans un lieu sûr. Les administrateurs peuvent ensuite vérifier eux-mêmes les messages et procéder à leur envoi vers le destinataire souhaité ou les supprimer définitivement.
Une autre stratégie de défense répandue consiste à former les utilisateurs pour les aider à identifier les messages frauduleux, en particulier les personnes ayant accès à des comptes en réseau de postes à haute responsabilité. Toutefois, cette méthode requiert encore une interaction entre l’homme et l’ordinateur, ce qui suppose l’erreur humaine potentielle. Avec le filtrage mail, les messages frauduleux n’atteignent jamais la boîte mail de l’employé, ce qui diminue largement le taux de risque. En cas de faux positif, les administrateurs peuvent valider manuellement le message et modifier les réglages pour mieux cerner la menace.
Les compagnies ne peuvent pas obtenir un service de protection du réseau à 100%, mais elles peuvent mettre en place une défense réduisant considérablement la menace. En 2021, les rançongiciels provoqueront l’augmentation des frais à toutes les échelles, y compris celle du service client. En ajoutant un filtre email à des serveurs standards déjà en œuvre, les administrateurs et les équipes chargées de la cyber-sécurité pourront protéger l’entreprise de l’une des plus grandes menaces visant la continuité des opérations et l’intégrité des données.
Choisissez la protection email de SpamTitan pour garantir votre entreprise contre les courriers indésirables, les virus, les logiciels malveillants, les rançongiciels et les liens redirigeant vos employés vers des sites frauduleux. Avec un taux de réussite de 99,99% d’identification des spams, vous pouvez être sûr que les courriers dommageables n’atteindront pas votre entreprise. Contactez des aujourd’hui un membre de l’équipe de SpamTitan pour savoir comment nous pouvons vous protéger contre les cyber-attaques.
par Editeur | Mar 30, 2022 | Cybersécurité et télétravail, Filtrage web, Malwares, Phishing, Ransomware, Sécurité des données, Sécurité des emails, Sécurité Internet
Telegram est une application de messagerie largement popularisée au cours de ces derniers mois, de nombreux utilisateurs de WhatsApp ayant opté pour un changement de moyen de communication après d’importantes modifications dans les conditions de sa politique de confidentialité et de gestion des données personnelles.
Telegram est malheureusement très populaire aussi auprès des cybercriminels qui l’utilisent pour distribuer et communiquer via des logiciels malveillants. Récemment, une campagne pirate a été détectée : elle impliquait un nouveau malware, une variante de ToxicEye. Le logiciel malveillant TocixEye est un Cheval de Troie opérant à distance (un RAT) qui donne au cybercriminel le contrôle total de l’appareil qu’il infecte. Sa fonction principale consiste à voler des données personnelles et télécharger d’autres variantes de malwares.
Le logiciel malveillant passe par un compte Telegram pour prendre le contrôle du serveur de communication. Par ce biais, il est capable d’atteindre un ordinateur piraté par ToxicEye, d’en exfiltrer les données et de produire d’autres effets dévastateurs.
Il est facile de voir en quoi l’utilisation de Telegram intéresse les cyber-pirates spécialisés en outils de communication : tout d’abord, l’application est populaire. En janvier 2021, ce sont plus de 63 millions de personnes qui l’ont téléchargée, rejoignant les 500 millions d’utilisateurs déjà actifs dans le monde entier. Pendant la pandémie, de nombreuses entreprises ont choisi d’utiliser cette application pour permettre à leurs employés de communiquer et de collaborer de manière sécurisée sur une messagerie privée. Telegram promet en effet la confidentialité des données et les entreprises ne bloquent pas son contenu, ni ne surveillent les échanges qui s’y passent.
Créer un compte Telegram est facile, et les cybercriminels peuvent rester anonymes. Il leur suffit de renseigner un numéro de téléphone pour obtenir un accès, et le système de communication leur permet d’exfiltrer les données très simplement, tout en envoyant des logiciels malveillants sur les appareils ciblés sans qu’ils puissent être détectés.
Les cybercriminels utilisent Telegram pour répandre les malwares. Une fois leur compte sur cette plateforme créé, il leur est possible d’interagir avec les autres utilisateurs et de leur envoyer des fichiers corrompus, ainsi que d’atteindre les personnes liées, même si elles n’utilisent pas Telegram, via des mails hameçons contenant des virus et d’autres programmes malveillants. C’est par hameçonnage que ToxicEye est livré aux victimes de cybercriminalité : les mails sont envoyés avec une pièce jointe au format .exe. Une campagne utilisait notamment un fichier intitulé « paypal checker by saint.exe » pour implanter ce logiciel frauduleux.
Une fois lancé et installé, ce malware créera une connexion entre le compte Telegram de la victime et le bot du cyber-pirate, qui pourra alors lancer de nombreuses attaques informatiques par le biais du logiciel frauduleux implanté. L’un des premiers objectifs de ces pirates est l’obtention de données personnelles, le vol de mots de passe et les informations des cookies et de l’historique de l’utilisateur ciblé.
Le logiciel malveillant ToxicEye est capable de suspendre l’activité informatique de l’ordinateur, de prendre le contrôle du gestionnaire des tâches, d’enregistrer des fichiers audio et vidéo, de voler le contenu du presse-papier et de déployer d’autres variantes de malwares, comme les keyloggers (les enregistreurs de frappe du clavier) et les rançongiciels.
TitanHQ dispose de deux solutions face aux problèmes posés par ToxicEye et les autres campagnes cyber-pirates lancées depuis Telegram : SpamTitan et WebTitan. SpamTitan est une puissante offre de sécurisation des mails capable de bloquer les mails frauduleux livrant les fichiers corrompus responsables de l’installation de ToxicEye et des autres malwares. Pour plus de protection, SpamTitan peut être combiné avec le système de sécurité WebTitan, un filtrage internet basé sur le DNS que l’on peut configurer pour bloquer l’accès à Telegram s’il n’est pas en service et pour réguler le trafic en temps réel, ce qui permet d’identifier les communications potentiellement malveillantes.
Pour plus d’information sur ces deux offres, les détails des prix et pour commencer votre essai gratuit, contactez TitanHQ dès aujourd’hui.
par Editeur | Mar 23, 2022 | Cybersécurité et télétravail, Malwares, Phishing, Ransomware, Sécurité des données, Sécurité des emails, Sécurité Web
L’hameçonnage est l’un des moyens les plus répandus de l’implantation des logiciels pirates. Ces mails frauduleux nécessitent généralement une action de la part de l’utilisateur pour activer leur contenu corrompu, comme un clic sur un lien écrit dans le texte ou un document Microsoft office attaché en pièce jointe. Les fichiers Word et Excel sont souvent utilisés pour implanter les rançongiciels, avec des macros programmées pour le vol de données.
Les macros sont des dangers en puissance, car elles sont capables de renfermer des codes frauduleux ; elles sont ainsi désactivées par défaut et ne fonctionneront que si elles sont lancées manuellement par l’utilisateur. Quand un document Office est ouvert, un message d’alerte apparaîtra pour signifier la présence d’une macro et signifier à l’utilisateur son caractère potentiellement dangereux. Si la macro n’est pas autorisée manuellement par l’utilisateur, le logiciel malveillant associé ne peut pas être téléchargé.
Une campagne d’hameçonnage a récemment été détectée ; c’était une campagne typique d’implantation de logiciel pirate, comme on en voit régulièrement. L’attaque initiale fut menée via des mails frauduleux ayant en pièces jointes des documents Office contenant des macros invitant l’utilisateur à télécharger un malware : dans le cas présent, ZLoader. Toutefois, une nouvelle méthode se répand aujourd’hui pour faire circuler des fichiers Office corrompus capables de désactiver les alertes informatiques aux macros et la protection automatique associée.
Dans cette campagne pirate, les éléments corrompus du rançongiciel ZLoader sont délivrés par mail, mais le corps du message ne contient pas de code malicieux ; c’est par une pièce jointe au format Microsoft Word que le piège se déclenche, initiant le téléchargement d’une feuille de calcul Excel protégée par un mot de passe depuis le serveur du cybercriminel permettant l’ouverture du fichier pirate et la mise en action de la macro.
Cette cyber-attaque s’appuie sur les éléments VBA et DDE de Microsoft Excel afin de corrompre les systèmes supportant les fichiers au format XLS.
Une fois que le fichier crypté Excel est téléchargé, le logiciel formaté VBA de Word lit les informations inscrites spécifiquement dans le document XLS. Le VBS de Word transforme ensuite le contenu des cellules au format VBA XLS afin de créer une nouvelle macro pour le fichier XLS. Une fois cela fait, le système de défense contre les macros d’Excel se trouve désactivé par le document Word qui l’a inscrit dans le registre des éléments autorisés par le programme pour désactiver les alertes de sécurité anti-macro d’Excel. Le VBA d’Excel autorise alors le téléchargement des fichiers corrompus de ZLoader, exécutés ensuite en utilisant rundll32.exe.
Bien que les fichiers corrompus soient téléchargés et installés à l’insu de l’utilisateur, cette attaque requiert quand même que sa victime autorise les macros dans le document Word initial. C’est très simple : il suffit de l’inviter à le faire en lui disant, par exemple, « ce document fut créé dans une version antérieure de Microsoft Word Office. Pour consulter ou éditer ce document, veuillez cliquer sur ‘‘autoriser le contenu’’ » à l’ouverture du document Word. Un simple clic sur cette invitation permettra l’activation de tout le processus d’infection du système.
ZLoader est une variante du tristement célèbre Cheval de Troie Zeus, apparu pour la première fois en 2006. Ce logiciel malveillant est aussi connu sous le nom de « ZBot » ou encore « Silent Night ». De nombreux cybercriminels l’utilisent : ce fut le cas pour de nombreuses campagnes de cyber-fraudes en 2020, prétextant des réductions sur des services de protection contre la Covid-19 ou des leurres encore plus répandus comme des offres d’emploi.
Une fois installé, le logiciel malveillant utilise divers modules pour voler les mots de passe de l’utilisateur, ses identifiants et même les informations des cookies de ses navigateurs ! Lorsque l’utilisateur se connecte à sa banque en ligne et accède à ses comptes sur un ordinateur infecté, les informations bancaires et toutes les données personnelles sont volées et exfiltrées sur le serveur C2 du cyber-pirate.
Afin de renforcer vos défenses contre les logiciels malveillants et l’hameçonnage, contactez l’équipe de TitanHQ dès aujourd’hui afin de vous renseigner sur les offres de sécurité email SpamTitan et de sécurité internet WebTitan. Ces deux offres peuvent être téléchargées et installées simultanément sur votre système pour vous protéger contre une foule de menaces informatiques en moins d’une heure. Vous disposerez d’un essai gratuit sans engagement de 14 jours vous permettant d’évaluer le service proposé, sa simplicité d’utilisation et son efficacité en matière de blocage des dangers numériques avant d’opter pour son achat.
par Editeur | Mar 14, 2022 | Cybersécurité et télétravail, Filtrage web, Malwares, News TitanHQ, Phishing, Ransomware, Sécurité des données, Sécurité Internet
Peu après la nomination de Jeff Benedetti au poste de directeur commercial, TitanHQ a choisi de dynamiser son installation aux États-Unis par le recrutement stratégique de 12 personnes au profil hautement qualifié pour travailler sur les marchés nord-américains des fournisseurs de services, aux États-Unis et au Canada. Ces nouvelles recrues apportent leur solide expérience des marchés acquise en travaillant auparavant chez Datto, Skout Cybersecurity, Barracuda et Agile Blue. La nouvelle équipe nord-américaine a démarré en force dans ses locaux basés à Shelton, dans le Connecticut. Elle comprend :
Eric Morano, Directeur du Développement :
Avec 15 ans d’expérience dans le domaine de la direction du département commercial et de la gestion de Datto, Skout Cybersecurity (BarracudaMSP), AgileBlue XDR, CDW, et Verizon, Eric Morano s’occupe désormais de l’optimisation de la croissance et de la recherche des partenaires de TitanHQ.
Craig Somma, Responsable de la Clientèle :
25 ans d’expérience dans le domaine du marché technologique et directeur de la stratégie marketing pour Tech Dept, Micro Warehouse et Gov Connection.
Joseph Rende, Responsable de la Clientèle :
Plus de 10 ans d’expérience dans le service des ventes de Gartner et Datto.
Pat DeAngelis, Responsable de la Clientèle :
Plus de 10 ans d’expérience en tant que fournisseur de services technologiques auprès de Datto, Threatlocker et Armor Cybersecurity.
Jeff Brown, Responsable de la Clientèle :
Plus de 10 ans d’expérience dans le département des ventes pour Datto, SKOUT Cybersecurity et Agile Blue.
Alex De Los Santos, Directeur Comptable :
8 ans d’expérience au département commercial de Datto et EDP.
Alex Nankervis, Directeur Comptable :
8 ans d’expérience au département commercial de Datto et Indeed.
Kyle Leyerzapf, Directeur Comptable :
5 ans d’expérience au département commercial de Datto.
Marc Bonnaci, Chargé du Développement Commercial :
7 ans d’expérience dans le département des ventes, ayant récemment travaillé pour Agile Blue.
Patrick Barry, Directeur Comptable :
6 ans d’expérience au service commercial et au service comptable de Accu-Tech Corporation et de Maxim Healthcare.
Jamal Ibrahim, Directeur Comptable :
4 ans d’expérience de direction comptable pour Altium et RCG.
C’est Jeff Benedetti, nommé comme chef d’équipe, qui supervisera le travail du groupe. Ce nouveau recrutement fait suite à trois mois d’activité et d’intense productivité pour TitanHQ dont on retiendra principalement :
- En décembre : le lancement de SpamTitan Plus Anti-Hameçonnage
SpamTitan Plus offre une large gamme de service d’intelligence artificielle de prévention contre l’hameçonnage avec le tout nouvel élément de protection technologique palliant la « vulnérabilité du jour zéro » : la couverture proposée est désormais supérieure à celle des autres tenants du marché actuel, avec de remarquables améliorations en ce qui concerne la détection des liens hameçons et sa rapidité d’exécution. Le produit a été accueilli avec beaucoup d’enthousiasme sur le marché ; il offre à ses clients une capacité de détection des mails frauduleux 1,5 fois supérieure à celle de ses concurrents.
- En janvier : la nomination de Jeff Benedetti au poste de directeur commercial du marché nord-américain
Jeff Benedetti, un vétéran dans le domaine de la gestion des équipes, a rejoint TitanHQ à la tête du marché nord-américain pour diriger le département commercial et la stratégie de mise sur le marché de l’offre proposée par TitanHQ, qui souhaite élargir sa présence sur le continent. Son équipe lancera d’ailleurs un tout nouveau programme de partenariat pour TitanHQ en avril.
Jeff Benedetti rejoint TitanHQ avec plus de 20 ans d’expérience fructueuse dans la vente et la direction de mises sur le marché de produits technologiques spécialisés en cyber-sécurité. Dernièrement, il était responsable des ventes et du marketing chez SKOUT Cybersecurity, racheté par Barracuda Networks durant l’été 2021. Jeff Benedetti était le directeur des ventes aux États-Unis chez Datto où il était chargé de l’accroissement du partenariat et du développement, permettant à la compagnie d’acquérir un statut inégalé dans son domaine jusqu’à son rachat par Vista Private Equity en 2017. Il avait aussi, par le passé, tenu un rôle majeur comme directeur chez Apple Inc et Tech Depot.
- Un nouveau record de croissance établi en janvier et février 2022
TitanHQ continue sa croissance exponentielle en franchissant une nouvelle étape en janvier et en février avec le meilleur revenu jamais enregistré au cours de ses 20 années d’existence et de nouveaux partenaires fournisseurs de services. Sa plateforme de cyber-sécurité SAAS, la meilleure du marché, offre une protection multi-niveaux palliant la vulnérabilité de l’utilisateur ; elle plait largement à la communauté des fournisseurs de services, avec plus de 2 200 membres l’utilisant au quotidien.
- En février : l’acquisition de Cyber Risk Aware et le lancement de SafeTitan
TitanHQ a finalisé le rachat de Cyber Risk Aware et lancé son programme de sensibilisation à la cyber-sécurité SafeTitan. Créé en 2016, Cyber Risk Aware, le leader en matière de formation à la sécurité informatique, aide les entreprises à préparer leurs employés à contrer les menaces rencontrées sur internet.
Cyber Risk Aware permet un entraînement des employés en temps réel à la cyber-sécurité adapté à leur comportement type. Cette fonction, renforcée par un système d’intelligence artificiel intuitif, réduit les chances de voir les utilisateurs se faire piéger par les cyber-menaces actuelles que constituent les logiciels malveillants, les attaques de réseau et les fuites de données, tout en permettant aux entreprises de se conformer aux normes légales en vigueur. Parmi les grandes entreprises qui font confiance à Cyber Risk Aware, on retrouve Standard Charter, Glen Dimplex et Invesco.
Cette acquisition renforcera l’offre en cyber-sécurité déjà très large que propose TitanHQ : la combinaison d’un système intelligent de sensibilisation à la sécurité incluant une fonction de simulation d’hameçonnage et de la protection des mails avec sécurité DNS créée par TitanHQ produit une plateforme sécurisée sur de multiples niveaux optimale pour les utilisateurs. C’est la solution ultime à adopter en matière de cyber-sécurité, idéale pour les fournisseurs de services technologiques et les départements informatiques internes en entreprise.
La demande du produit SafeTitan a été exponentielle auprès des fournisseurs de services technologiques et des départements informatiques des entreprises à travers le monde.
par Editeur | Mar 9, 2022 | Cybersécurité et télétravail, Malwares, News TitanHQ, Phishing, Sécurité des emails, Sécurité Internet
L’équipe de TitanHQ est fière de vous annoncer le lancement d’une nouvelle offre de protection pour les entreprises contre la menace grandissante d’un hameçonnage de plus en plus sophistiqué. SpamTitan Plus s’appuie sur le grand succès rencontré par SpamTitan Gateway et SpamTitan Cloud, qui ont satisfait plus de 12 000 clients et plus de 3 000 fournisseurs de services à travers le monde.
Les offres SpamTitan comportent une protection avancée contre l’hameçonnage, les logiciels malveillants, les virus, les attaques de réseau et les rançongiciels opérant par mails frauduleux, dont des tests indépendants ont confirmé le taux de haute détection et la fiabilité avec un taux d’échec minimal. SpamTitan Plus pousse le niveau de protection à l’échelle supérieure avec une couche de sécurisation supplémentaire, un grade avancé dans la détection des liens hameçons et sa rapidité, ainsi qu’un taux d’échec encore plus faible.
Des tests effectués par des firmes indépendantes ont confirmé que SpamTitan Plus :
- Couvre 100% des besoins informatiques nécessaires à lutter contre les menaces d’hameçonnage les plus puissantes connues à ce jour,
- Présente un taux 1,5 fois supérieur en matière de détection d’URL d’hameçonnage,
- Est 1,6 fois plus rapide dans la détection de l’hameçonnage que ses concurrents,
- Enregistre 10 millions de nouvelles URL d’hameçonnage jamais encore identifiées chaque jour,
- N’a besoin que de 5 minutes à partir de la détection de l’URL malicieuse pour enclencher la protection des boîtes mail des utilisateurs.
Les avantages de SpamTitan Plus :
D’après Deloitte, 91% des cyber-attaques commencent par un mail hameçon, et malgré les nombreuses dispositions adoptées par les entreprises pour former leurs employés à la cyber-sécurité, la plupart d’entre eux échouent encore largement à identifier des mails frauduleux. Le département de la sécurité rapporte un taux d’échec de 97% parmi les employés. Si l’on ajoute à cela la menace grandissante de la sophistication des tactiques utilisées par les cybercriminels pour échapper à la détection des programmes de protection contre les mails frauduleux et les pièges qu’ils conçoivent pour duper les utilisateurs, il n’est pas étonnant que l’hameçonnage soit la plus importante des menaces que doivent affronter les entreprises.
SpamTitan Plus renforce les défenses contre l’hameçonnage des pirates en bloquant davantage de menaces avant qu’elles ne puissent atteindre les boîtes mails de leurs victimes et garantit que si un mail hameçon contenant un lien frauduleux arrive dans une boîte mail, la protection s’enclenche dès que l’employé clique sur le dit-lien.
SpamTitan Plus fournit une protection à la pointe de la technologie grâce à un système se basant sur l’intelligence artificielle et une mise à jour quotidienne des menaces répertoriées. De grandes améliorations ont été pensées pour protéger les entreprises contre les attaques par mails frauduleux et neutraliser leur contenu : tous les liens présents dans les mails sont réécrits et inspectés pour s’assurer qu’ils sont sûrs et que les utilisateurs sont protégés dès l’instant qu’ils effectuent un clic. Cela signifie que dès lors, le contenu de la page ouverte en suivant le lien est inspecté pour détecter la moindre forme de piratage et de fraude, comme la création d’une page internet factice. La redirection est largement employée par les cybercriminels afin d’induire en erreur le système de sécurité de l’ordinateur qui ne vérifie que l’URL écrite dans le corps du mail. SpamTitan Plus répond à ce problème en analysant également les redirections.
De multiples vérifications dynamiques sont effectuées en temps réel sur les URL, avec un système de protection du clic instantané assurant que les liens inclus dans les mails, si inoffensifs qu’ils puissent paraître, sont bien détectés comme frauduleux si l’URL est répertoriée a posteriori. Par exemple, les mails hameçons peuvent être envoyés le vendredi avec un lien inoffensif pour passer la détection et durant le weekend, le lien sera changé pour rediriger l’utilisateur sur un contenu frauduleux, prêt à piéger les employés dès le lundi suivant à la reprise du travail.
SpamTitan Plus bénéficie de la base de données d’un trafic massif de clics, avec plus de 600 millions d’utilisateurs et de paramètres « end points » lui permettant de générer 10 millions de cyber-menaces et d’URL frauduleuses jamais encore détectées en une journée. Ces adjonctions d’URL éphémères sont propulsées par plusieurs centaines de milliards de requêtes locales et cent millions de requêtes cloud quotidiennes à l’intérieur de SpamTitan Plus. Le résultat ? Une détection plus rapide pour une meilleure protection, avec le taux d’erreur le plus bas parmi tous les fournisseurs d’offres de cyber-sécurité contre l’hameçonnage.
Si vous êtes chef d’entreprise ou fournisseur de services en quête d’amélioration de protection contre l’hameçonnage pour vos clients, contactez l’équipe TitanHQ pour plus de renseignements à propos de SpamTitan Plus et découvrez comment le logiciel peut renforcer vos défenses contre les cyber-menaces actuelles.
par Editeur | Fév 17, 2022 | Cybersécurité et télétravail, News TitanHQ, Phishing, Sécurité des données, Sécurité des emails, Sécurité réseau
TitanHQ, le leader du marché en matière de cyber-sécurité SAAS, a aujourd’hui annoncé son achat de Cyber Risk Aware, l’une des figures de tête de la sensibilisation à la sécurité informatique et de la réduction des cyber-risques pour l’utilisateur, qui aidait les entreprises et leurs équipes à protéger le réseau de leurs compagnies depuis 2016.
Cyber Risk Aware fournit une formation à la cyber-sécurité aux employés en temps réel, s’adaptant spécifiquement à leur comportement en entreprise. Cet entraînement intuitif et pragmatique réduit la probabilité de voir les employés piégés par les dernières menaces cyber-pirates telles que les logiciels malveillants, les attaques par mails professionnels corrompus (BEC) et les fuites de données, tout en permettant aux compagnies de se mettre en conformité vis-à-vis de la législation. Parmi les entreprises qui font confiance à Cyber Risk Aware, on trouve Standard Charter, Glen Dimplex et Invesco.
Cette acquisition va donner un élan supplémentaire à l’offre déjà très large que propose TitanHQ en matière de cyber-sécurité. L’alliance d’une formation à la sécurité informatique intelligemment pensée avec système de simulation d’hameçonnage et du système sophistiqué de l’offre de TitanHQ quant à la protection avancée des mails et à la sécurité DNS donne lieu à une puissante plateforme, polyvalente et multi-structurée, capable de protéger l’utilisateur contre la fraude de manière optimale. C’est la plateforme ultime pour les fournisseurs de services technologiques et pour les responsables du département informatique en entreprise.
« C’est une adjonction formidable pour l’équipe de TitanHQ, complétant notre offre en cyber-sécurité. Cela nous permet d’ajouter un niveau de protection impliquant le facteur humain à notre plateforme de protection informatique, avec un élément fantastique pour l’enrichir, comme nous le démontre l’envergure des clients qui l’utilisent. Stephen et son équipe ont créé une grande entreprise au fil des ans, et nous sommes heureux de les voir rejoindre TitanHQ pour un avenir commun », a déclaré Ronan Kavanagh, le PDG de TitanHQ.
Stephen Burke, le PDG de Cyber Risk Aware, a lui aussi donné son opinion : « je suis tellement fier de l’acquisition de Cyber Risk Aware par TitanHQ ! Voilà bien longtemps que je tiens en haute estime le marché de la cyber-sécurité. Cette annonce aujourd’hui est merveilleuse pour nos clients et tous nos partenaires. Nous créerons ensemble une plateforme innovante en matière de cyber-sécurité capable de contrer la menace la plus dangereuse lancée par les cybercriminels, qui cause 99% des fuites de données : le ciblage direct de l’utilisateur par « End User Compromise ». Quand j’ai créé Cyber Risk Aware, mon objectif était de devenir le leader de la sensibilisation à la cyber-sécurité, capable de transmettre le bon message au bon utilisateur au bon moment. Maintenant, en tant que membre de TitanHQ, je suis plus enthousiaste que jamais car nous apporterons sur le marché une proposition à nulle autre pareil en termes de valeur. »
SafeTitan : la formation à la cyber-sécurité
L’offre est disponible pour les anciens et les nouveaux clients de TitanHQ, ainsi que pour ses partenaires fournisseurs de service, désormais sous le nom de « SafeTitan, formation en cyber-sécurité ». Les clients de Cyber Risk Aware ne seront pas lésés : ils profiteront des améliorations sur la plateforme en termes de simulation de situations d’hameçonnage ainsi que de le nouvelle feuille de route du produit.
TitanHQ est une compagnie travaillant depuis 20 ans dans le domaine de la cyber-sécurité, récompensée à de multiples reprises. Nous protégeons les utilisateurs de plus de 8 500 entreprises et 2 500 partenaires fournisseurs de services. Notre plateforme sécurisée protège nos clients des logiciels malveillants, des rançongiciels, de l’hameçonnage, des virus, des attaques de réseau et de tout autre forme de cyber-piratage.
Plus important encore, nos produits furent conçus spécifiquement pour les petites et moyennes entreprises. Nous les aidons à gagner du temps et de la productivité en arrêtant les problèmes à la source tout en leur fournissant le produit idéal à vendre dans leur offre technologique.
par Editeur | Jan 19, 2022 | Cybersécurité et télétravail, Filtrage web, Malwares, Phishing, Ransomware, Sécurité des données, Sécurité des emails, Sécurité Internet
La fréquence des cyberattaques par rançongiciels est alarmante, mais ce n’est pas la cause première des pertes financières dues au piratage informatique, bien que le montant dérobé soit considérable. En effet, d’après le FBI, ce sont les attaques résultant d’une fuite de données d’emails professionnels qui engendrent les coûts les plus élevés recensés en cybercriminalité. En 2020, le bureau de réclamation des crimes sur internet du FBI, le IC3, a enregistré 19 369 plaintes pour piratage suite à la compromission d’emails professionnels. 1,8 milliards de dollars ont ainsi été volés par hameçonnage durant l’année, et la plupart de ces fraudes n’ont jamais été signalées.
La compromission d’emails professionnels (« Business Email Compromise », ou « BEC », en anglais), aussi appelée « compromission de compte mail » (« Email Account Compromise », ou « EAC »), suppose que les cybercriminels piratent les comptes emails professionnels des employés et les utilisent pour envoyer des instructions frauduleuses de virement bancaire au service comptabilité. Ces attaques ont pour but ultime la compromission du compte mail du PDG de l’entreprise, ou, à défaut, celle du directeur financier, ce qui leur permettrait d’ordonner directement aux comptables d’envoyer des fonds sur un compte bancaire détenu par les pirates informatiques.
Les cyberattaques ciblent aussi les commerciaux : leurs comptes mails sont alors utilisés pour envoyer des mails ayant pour objet la modification du moyen de paiement des clients vers un compte bancaire criminel. En plus des transferts bancaires, ces escrocs sont aussi connus pour leur collecte d’éléments personnels comme les bulletins de salaire : les informations y figurant leur permettent en effet de demander à leurs victimes un paiement supplémentaires de taxes frauduleuses ou d’exiger un remboursement factice des fonds alloués. Ces pirates spécialistes du BEC prétextent également l’offre de cartes cadeaux pour commettre leurs méfaits. Ils savent aussi demander aux employés de modifier leurs données bancaires sur lesquels ils reçoivent leur salaire – collectant les données au passage pour les voler directement.
Ces piratages par BEC peuvent produire des pertes financières considérables. Récemment, la ville américaine de Peterborough, dans le New Hampshire, a fait l’objet de ces attaques : les cybercriminels ont réussi à détourner de nombreux virements bancaires avant que la fraude ne soit découverte. Ils avaient réussi à envoyer des documents falsifiés aux employés du service comptable de la ville pour demander le changement de données bancaires en vue de prochains paiements. L’arnaque était bien ficelée ; les pirates avaient échangé de nombreux emails avec les comptables en poste. Ils avaient au préalable fait des recherches poussées afin de déterminer quelles seraient les transactions les plus profitables à pirater.
La fraude fut découverte lorsque le ConVal School District signala à la ville que le virement de 1,2 million de dollars dû n’avait pas été effectué. Les fonctionnaires de Peterborough ont de leur côté assuré que le paiement avait bien été émis, et ce fut une enquête qui révéla que les informations bancaires avaient été modifiées ; elle indiqua aussi plus tard que deux importants virements effectués pour payer l’entreprise en charge des travaux du pont principal de la ville, le Main Street Bridge Project, avaient également été redirigés vers des comptes bancaires appartenant aux cyber-pirates. En tout, la ville avait reversé 2,3 millions de dollars aux cybercriminels ; une somme qu’elle n’a presque aucune chance de récupérer.
Les attaques par BEC sont très élaborées : les cyber-pirates sont véritablement doués dans leur domaine, au point qu’il leur est très facile de duper les comptables pour les convaincre qu’ils échangent des mails avec le PDG, le directeur financier ou un prestataire, car c’est leur véritable mail professionnel qui est utilisé pour ces communications. Ces fraudeurs étudient soigneusement le style d’écriture du titulaire du compte mail et l’imitent pour n’éveiller aucun soupçon.
Il existe un processus permettant aux entreprises de bloquer une cyberattaque dès le premier jour et d’identifier les mails d’hameçonnage à temps pour éviter un transfert bancaire frauduleux. La première étape consiste à installer un filtre anti-spam, qui bloquera l’hameçonnage collectant les données personnelles des mails professionnels. SpamTitan offre une gamme complète de services permettant de détecter et de bloquer ces mails indésirables avec un algorithme capable de les analyser. SpamTitan fournit aussi un scan capable de parer l’hameçonnage en identifiant une demande d’adresse mail du PDG et du directeur financier. SpamTitan remarque les échanges de données personnelles, comme les formulaires et les fiches de paie.
En plus d’un filtre anti-spam, il est très important que les entreprises forment leurs employés à la menace des attaques pirates par BEC, notamment ceux chargés de la comptabilité. Il leur faut aussi mette en place une politique et des procédés de vérification stricte par téléphone des demandes de modifications de coordonnées bancaires avec vérification préalable d’identité. L’instauration de ces simples mesures peut faire la différence et permettre de bloquer une cyberattaque plutôt que de verser des millions de dollars sur un compte bancaire appartement à ces escrocs informatiques.
Pour renforcer votre protection contre les attaques par BEC et l’hameçonnage, contactez dès aujourd’hui l’équipe de TitanHQ. Sur simple demande, vous bénéficierez d’une démonstration des services proposés, et le produit complet, incluant le support technique, vous sera proposé en essai gratuit afin de vous permettre de l’évaluer avant d’envisager son achat.
par Editeur | Jan 12, 2022 | Cybersécurité et télétravail, Filtrage web, Malwares, Phishing, Ransomware, Sécurité des données, Sécurité des emails, Sécurité Internet
Les cyber-pirates à l’origine du logiciel malveillant LemonDuck sont passé à la vitesse supérieure en lui ajoutant de nouvelles fonctionnalités pour le rendre beaucoup plus dangereux. Le logiciel malveillant LemonDuck est très connu pour attaquer les « botnets » et la crypto-monnaie. Toutefois, il se développe très activement : pendant que ses méfaits dans les deux domaines précités se poursuivent, LemonDuck se dote de la capacité à franchir les contrôles de sécurité sur les ordinateurs infectés, se déplaçant rapidement à l’intérieur des réseaux et y répandant un arsenal pirate complet afin d’exfiltrer et de voler les données confidentielles. Ce rançongiciel se propage aussi par mail.
Les cybercriminels qui l’ont créé sont connus pour profiter des dernières nouvelles et des événements récents : ils inventent en effet des mails hameçons convaincants pour diffuser leur logiciel pirate, le plus souvent à travers des pièces jointes corrompues au format Microsoft Office. Cependant, la menace principale tire également profit des nouvelles avancées des ordinateurs infectés, ainsi que de certaines failles plus anciennes. L’année dernière, les cybercriminels ont répandu LemonDuck à travers des mails rédigés sur le thème de la Covid-19 ; et tandis que l’hameçonnage est toujours à l’œuvre pour distribuer le logiciel malveillant, la menace principale a exploité les brèches de Microsoft Exchange récemment mises en lumière pour accéder aux systèmes informatiques, ainsi que l’a rapporté Microsoft dans une récente alerte de sécurité.
LemonDuck est un logiciel malveillant quelque peu atypique, car il est relativement rare pour ces programmes d’être capables d’attaquer à la fois les systèmes Windows et Linux. Les cybercriminels aiment avoir le contrôle exclusif sur les ordinateurs infectés et se débarrassent eux-mêmes des cyber-pirates qui leur font concurrence, le cas échéant. Pour s’assurer qu’aucun logiciel malveillant rival n’est installé sur un ordinateur qu’ils ont ciblé, LemonDuck comble automatiquement la faille qui lui a permis de s’infiltrer dans le système.
Si LemonDuck est installé sur un ordinateur qui utilise Microsoft Outlook, un script informatique s’enclenche en utilisant les identifiants volés pour accéder à la boîte mail. Des copies sont ensuite envoyées par hameçonnage à tous les contacts enregistrés dans la messagerie via la duplication d’un mail précédemment émis, avec le logiciel malveillant en pièce jointe.
LemonDuck a été détecté pour la première fois en mai 2019 avec des cyber-attaques en Chine ; il est à présent distribué beaucoup plus largement. On le détecte aujourd’hui aux États-Unis, au Royaume-Uni, en Russie, en France, en Inde, en Allemagne, en Corée, au Canada et au Vietnam.
Microsoft a identifié deux structures opérantes bien distinctes qui se servent de LemonDuck, ce qui signifierait que le logiciel malveillant est utilisé par différents groupes, chacun ayant ses propres objectifs. L’infrastructure « LemonCat » a servi dans une campagne pirate exploitant les faiblesses du serveur Microsoft Exchange pour installer des « portes dérobées » permettant le vol d’identifiants et de données, ainsi que la propagation d’autres variantes de rançongiciels comme Ramnit.
Bloquer les cyber-attaques de ces logiciels malveillants nécessite une approche multiple. Un filtre anti-spam avancé comme SpamTitan permettrait à l’utilisateur de bloquer des mails hameçons servant à installer ces programmes pirates. SpamTitan scanne également les messages envoyés pour éviter de répandre des variantes de logiciels malveillants capables de s’en prendre à la liste des contacts enregistrés. Comme ce sont les failles informatiques qui sont exploitées pour accéder aux réseaux, il est essentiel d’avoir une solide politique de gestion des correctifs et de les appliquer dès leur mise en service. Un antivirus doit être installé et automatiquement mis à jour. Un filtre internet est aussi fortement recommandé pour bloquer les téléchargements de logiciels malveillants depuis le web.
Pour plus d’informations sur les moyens d’améliorer vos défenses contre LemonDuck et les autres cyber-menaces, contactez l’équipe de TitanHQ. Les services de sécurité email SpamTitan et internet WebTitan sont disponibles en version d’essai gratuite et peuvent être installés et configurés pour vous afin de protéger vos ordinateurs en moins d’une heure.
