Sécurité IT : l’agilité des cyber-criminels

Que ce soit dans l’approche de leurs cibles via des techniques comme le social engineering ou dans l’optimisation des logiciels malveillants pour échapper aux nouvelles technologies de protection, les pirates informatiques ont fait preuve d’une agilité sans précédent en 2014.

C’est l’un des nombreux constats établis par CheckPoint dans la dernière édition (document PDF, 62 pages) de son Security Report.

Le fournisseur de solutions de sécurité d’origine israélienne s’est également penché sur la vulnérabilité des produits open source, la multiplication des attaques par déni de service distribué (DDoS) ou encore la sécurité des terminaux et applications mobiles.

Sur ce dernier point, les conclusions sont sans appel : la porte est grande ouverte pour les cybercriminels. Tout particulièrement au regard du développement de ce phénomène appelé « Shadow IT » et décrivant l’ensemble des services utilisés par les employés, mais qui échappent au contrôle de la direction / du responsable informatique.

En tête de liste, le stockage et le partage de fichiers, avec des outils comme Dropbox et BitTorrent. Bien que généralement mieux encadrées par les entreprises, les solutions d’accès à distance – de type TeamViewer, RDP et LogMeIn – restent problématiques de par leur nature même.

C’est sans compter l’émergence de l’informatique vestimentaire (« wearables »), à travers ces smartwatchs, bracelets et autres dispositifs connectés qui interagissent avec les smartphones et les tablettes.

Autant d’éléments qui cristallisent les craintes des organisations : 91 % d’entre elles reconnaissent que le nombre de terminaux mobiles personnels connectés sur leur réseau a augmenté ces deux dernières années… Mais 44 % ne gèrent pas les données qui y transitent, alors même que 33 % des développeurs ne testent pas la sécurité de leurs applications, selon CheckPoint.

Principaux défis lié au BYOD (« Bring Your Own Device », ou comment j’utilise mon appareil personnel à des fins professionnelles) : la protection des données (pour 72 % des répondants), le contrôle des accès réseau (59 %), la mise à jour (46 %) et l’utilisation de solutions transversales qui puissent englober les principales plates-formes logicielles du marché (42 %).

L’erreur est humaine

L’attrait des terminaux mobiles pour les hackers s’est nettement fait ressentir en 2014 : 60 % des incidents de sécurité ont été recensés côté client, contre 40 % côté serveur (le rapport s’inverse par rapport à 2013).

L’erreur humaine est donc exploitée de façon prioritaire, plus encore en sachant que 25 % des postes clients ne disposent pas de signatures de virus à jour… et que 17 % n’ont tout simplement pas d’antivirus installé. En outre, l’OS n’est pas systématiquement à jour dans sa dernière version (« Service Pack »), tout comme les logiciels.

Autre tendance lourde chez les pirates : modifier légèrement le code de leurs logiciels malveillants pour passer sous les radars. Ces malware « inconnus » se sont comptés à 142 millions en 2014, contre 83 millions en 2013, selon les statistiques d’AV-Test.

A en croire CheckPoint, créer un « nouveau » malware (en ce sens qu’il n’est pas directement détectable par les antivirus) n’est pas si compliqué : il suffit d’ajouter quelques caractères dans le nom de fichier utilisé pour le véhiculer et de modifier, dans chaque exécutable, un en-tête non utilisé. Une méthode qui revient beaucoup moins cher que de partir de zéro.

Dans plus de la moitié des cas (52 %), ces nouvelles menaces se logent dans des fichiers PDF. Plus de 4 organisations sur 10 en ont téléchargé au moins un en 2014. Certaines en ont payé le tribut à coups de DDoS, attaque subie l’année dernière par 60 % des quelque 20 000 entreprises qu’a étudiées CheckPoint.

Mais au-delà des perturbations de services et d’infrastructures, la principale motivation des cybercriminels est d’ordre financière. Témoin cette recrudescence des assauts contre les systèmes de paiement et d’encaissement (PoS) en points de vente physiques. Des équipements souvent anciens (Windows XP est encore très implanté), qui ne chiffrent pas nécessairement les données avec des protocoles récents et qui manquent tout simplement de sécurité dans des pays comme les Etats-Unis, où la carte à puce n’est pas encore massivement implantée.

Où vont les données ?

Concernant les pertes de données, elles sont souvent liées à des campagnes de phishing (hameçonnage). Les techniques de social engineering permettent d’étudier précisément des cibles pour leur transmettre des e-mails qui soient aussi légitimes que possible, avec soit une pièce jointe infectée, soit un lien vers un site malveillant.

Les victimes sont susceptibles de transmettre de nombreuses informations hors du réseau de l’entreprise. Il peut s’agir de données bancaires (30 % des organisations concernées en 2014), d’éléments financiers (20 %), de fichiers protégés par mot de passe (10 %) ou encore d’e-mails confidentiels (5 %).

Toutes ces données sont parfois chiffrées. Problème : les pirates ont aujourd’hui à leur disposition des outils puissants qui permettent par exemple le déchiffrement distribué (faire travailler plusieurs machines en parallèle) ; illustration avec le logiciel open source Hashcat.

Crédit photo : Benoit Daoust – Shutterstock.com