Catégorie : Cybercriminalité

Une attaque visant le système des noms de domaine : la priorité, protéger ses accès

Cyberattaque mondiale - DNS Hijacking - cyberespionnage
Source de l’image : Geralt via Pixabay

Les médias ont très largement relayé le weekend dernier les méfaits d’une attaque à priori sans précédent et visant les noms de domaine.

C’est en effet dans la nuit du 22 au 23 février que, l’ICANN a déclaré des attaques d’une grande envergure visant les noms de domaine : il s’agit de DNS hijacking. Ces attaques consistent « à remplacer les adresses des serveurs » autorisés « par des adresses de machines contrôlées par les attaquants », a expliqué l’organisme, permettant aux pirates d’interroger les données pour découvrir mots de passe, adresses mail etc., voire de capter complètement le trafic vers leurs serveurs.

Une vague d’attaques qui a débuté en novembre 2018

En réalité, il ne s’agit pas d’une attaque, mais d’une vague d’attaques que le système des noms de domaine subit depuis maintenant plusieurs semaines.

Dès la fin du mois de novembre 2018, une attaque visait le Liban et les Émirats Arabes Unis et avait affecté les noms de domaine en .GOV. Dans cette première attaque, les cybercriminels avaient procédé à du DNS hijacking.

Début janvier 2019, la société FireEye faisait état dans un article d’une vague de DNS hijacking affectant les noms de domaine appartenant au gouvernement et aux secteurs des télécommunications et d’Internet au Moyen-Orient, en Afrique du Nord, Europe et Amérique du Nord.

Si les pirates n’avaient pas été alors identifiés, les premières recherches laissaient à penser que ces derniers pourraient opérer depuis l’Iran.

Fait important quant à l’attaque du 22 février : elle frappait cette fois-ci, parfois avec succès, des acteurs importants de l’Internet.

En quoi ces attaques consistent-elles ?

La méthode employée est celle du DNS hijacking, déployé à grande échelle. Il s’agit d’une attaque malicieuse, également appelée redirection DNS. Son but : écraser les paramètres TCP/IP d’un ordinateur afin de le diriger vers un serveur DNS pirate en lieu et place du serveur DNS officiel paramétré. Pour ce faire, le pirate prend le contrôle via différentes techniques de la machine cible pour altérer les configurations DNS.

Le gouvernement américain, entre autres, a récemment tiré la sonnette d’alarme face à ces séries d’attaques très sophistiquées dont le but serait de siphonner un important volume de mots de passe. Ces attaques cibleraient plus spécifiquement les gouvernements et les sociétés privées.

Entre DNS hijacking et cyberespionnage

Selon l’article de Talos de novembre 2018, les pirates derrière ces attaques auraient ainsi récupéré des emails et des informations de connexions (identifiants – mots de passe) en hijackant le DNS, faisant en sorte que le trafic des emails des institutions ciblées et le VPN (Virtual Private Networking) soient redirigés vers un serveur contrôlé par les cybercriminels.

Une fois les connecteurs récupérés, d’autres attaques peuvent être lancées, telles que le Man-In-The-Middle, à des fins d’espionnage.

Alors comment se protéger efficacement ?

Il faut être conscient que si ces attaques visent prioritairement le système d’avitaillement des noms de domaine, nous ne le dirons jamais assez, la première porte d’entrée d’un pirate à votre portefeuille de noms de domaine est vos accès plateforme de gestion.

La première et absolue recommandation est de protéger ses accès

Nameshield a mis en place, depuis de nombreuses années, des dispositifs de sécurisation de l’accès au portail de gestion des noms de domaine (filtrage IP, ACL, HTTPS) et propose en sus l’authentification 2 facteurs et le SSO.

Si ces solutions complémentaires ne sont pas encore en place, Nameshield recommande vivement de mettre en place ces solutions, tout particulièrement la double factor authentification, pour lutter contre les vols de mots de passe.

Mettre en place le protocole DNSSEC

La mise en place du protocole DNSSEC, s’il était bien plus largement déployé, aurait pu empêcher ou à tout le moins amoindrir l’impact de ces attaques, en limitant leurs conséquences.

Il devient plus qu’urgent que DNSSEC soit désormais massivement adopté, tant au niveau des résolveurs que des serveurs faisant autorité.

Protéger ses noms de domaine stratégiques

La mise en place d’un registry lock sur vos noms stratégiques empêchera les modifications frauduleuses de ces derniers.

Si aucune solution parfaite n’existe aujourd’hui pour protéger à 100% les infrastructures des cyberattaques, c’est l’application de plusieurs mesures préventives combinées qui permettra de diminuer les vulnérabilités exploitées (si) facilement par les pirates.

Arnaque par e-mail

Alerte FOVI - Blog Nameshield

La fraude aux faux ordres de virement (FOVI) est de retour !!!

Des escrocs ont utilisé le bon vieux système des faux ordres de virement, en piratant des comptes mail de sociétés.

Récemment, la société Pathé a été la cible d’un groupe de fraudeurs professionnels qui, grâce à une communication raffinée, a réussi à gagner la confiance de certains collaborateurs de la filiale du groupe aux Pays-Bas. Montant de la fraude : 19 200 000 euros.

Leur méthode : Des courriels envoyés au cours du mois de mars 2018 depuis une fausse adresse électronique au PDG afin de de procéder à des virements d’argent destiné à financer une prétendue acquisition à Dubaï. Les fraudeurs se faisaient passer pour la direction du groupe et précisaient que l’argent serait remboursé après la transaction.

Autre cas, une société pétrolière française s’est fait dérober 900.000 euros à la mi-octobre. Un sous-traitant français de la société, opérant en Angola, contacte par email le service comptable de cette entreprise francilienne. Il lui demande d’effectuer un virement dans le cadre de leurs affaires commerciales : « L’argent a été viré sur un compte de la Barclays Bank à Londres avant de disparaître purement et simplement ». Ce n’est qu’après-coup que l’entreprise découvre que des escrocs ont réussi à pirater le compte mail de ce sous-traitant pour leur usurper leur identité.

Ce phénomène touche plus particulièrement les petites et moyennes entreprises car elles n’ont pas encore mis en place de stratégie de protection. Selon l’office central pour la répression de la grande délinquance financière en France, 430 millions d’euros ont été détournés en l’espace de 3 ans par les escrocs aux faux ordres de virement.

Les différents modes opératoires

1. L’escroquerie au Président

Technique consistant à convaincre le collaborateur d’une entreprise d’effectuer en urgence un virement important à un tiers pour obéir à un prétendu ordre du dirigeant.

2. L’escroquerie au changement de RIB

Technique consistant à contacter un fournisseur/client afin de lui notifier d’un changement de RIB. En général, l’escroc utilise des informations confidentielles (factures, contrat) afin de convaincre l’interlocuteur de modifier le RIB et d’initier le transfert. A noter, cette technique nécessite toutefois une prise de contrôle des messageries des cibles.

Quelques règles simples pour se prémunir

Au sein de l’entreprise :

1. Sensibilisation en interne

Rappeler aux collaborateurs la prudence concernant les données de l’entreprise : Toute information liée à l’entreprise peut être utilisée par des escrocs.

Sensibiliser régulièrement l’ensemble des employés des services comptables, trésorerie, secrétariats, standards, de ce type d’escroquerie, notamment pendant les périodes de congés.

2. Instaurer des procédures de vérification pour les paiements internationaux

3. Maintenir à jour le système de sécurité informatique

4. Accentuer la vigilance pendant les périodes de vacances scolaires, les jours fériés et les jours de paiement des loyers

Surveillance :

1. Surveiller/Détecter les noms de domaine utilisés pour la messagerie interne
Les cybercriminels enregistrent des noms de domaine proches de ceux de la société afin de créer l’illusion. 

2. Lancer des actions concernant les noms de domaine déposés par des tiers (utilisés ou non)
Les escrocs utilisent les noms  de domaine quelques heures après l’enregistrement du nom de domaine afin de lancer une attaque.

3. Sécuriser la messagerie contre le typosquatting
Le logiciel de messagerie doit permettre de bloquer toute intrusion via un nom de domaine proche de celui utilisé par l’entreprise.

4. Sensibiliser les clients/fournisseurs/sous-traitants
Informer les contacts sur le mode de communication/ordre afin d’éviter tout risque d’intrusion d’un tiers.

Reconnaître les signes d’attaque

Il existe une multitude de signes permettant d’identifier une attaque, cependant c’est le caractère rapide/urgent de la demande qui peut alerter l’interlocuteur. En effet, plus l’attaque sera rapide dans le temps, plus elle sera efficace.

En voici une liste non exhaustive :

1. Une demande de virement à l’international, non planifiée, au caractère urgent et confidentiel
Dans ce cas, il peut s’avérer utile de contacter son interlocuteur habituel avec les coordonnées connues de la société.

2. Se méfier de tout changement de coordonnées téléphoniques, RIB ou mails

3. Se méfier d’un contact direct d’un escroc se faisant passer pour un membre de la société ou un responsable

4. Pour assoir sa crédibilité, l’escroc apportera une abondance de détails sur l’entreprise et son environnement
L’escroc tentera de créer un climat de confiance en apportant des données confidentielles afin de prouver la légitimité de sa demande.

Dernière histoire (vraie) pour finir :

Un escroc fait son premier coup en juillet 2005 à Paris, en téléphonant à la directrice d’une agence bancaire. Il se fait passer directeur général de sa banque. Il lui raconte qu’un agent des services secrets va prendre contact avec elle. La directrice doit coopérer à une enquête confidentielle portant sur « le blanchiment de capitaux destinés à financer des actes terroristes ». L’escroc parviendra à se faire remettre une sacoche contenant 358 000 € avant de disparaître.

Attaque et escroquerie : quand tout finit par se savoir

La vie est faite d’évènements exceptionnels. Cependant, pour aborder cette dernière du mieux possible, mettons sous le tapis les évènements qui vous feraient passer pour une personne vulnérable. Du moins, c’est une pratique répandue : ne pas montrer que vous êtes faillible ferait de vous une personne victorieuse. Raisonnement bien limité  dans la mesure où les échecs construisent l’Homme et font clairement partie de la vie. Je vous laisse lire ce fabuleux article portant sur les Instagrammeurs et leur quotidien pas toujours rose.

D’ailleurs, je vais vous avouer quelque chose : c’est seulement à l’âge de seize ans que j’ai appris que les aliments pour chien ne devaient pas être choisis en fonction de la photo du chien sur la boîte. C’est en cherchant désespérément une boite de croquette portant une photo de la race de mon chien qu’un vendeur de Jardiland m’expliqua la vérité.

phishing et arnaque au président

Non, cette tranche de pain de mie n’est pas dédiée au petit chien dessus.
Crédit image

En matière de cybersécurité, avouer ses faiblesses après coup est un procédé commun afin que chacun puisse apprendre de ses erreurs. L’entreprise A communique, et toutes les entreprises garderont en mémoire A. Avec un objectif de ne pas faire la même erreur. Malheureusement cette pratique, et ce pour plusieurs raisons dont certaines tout à fait compréhensibles, n’est pas systématique.

Pourtant, il semblerait que les attaques finissent toujours par être connues, d’une façon ou d’une autre.

Prenons le récent exemple d’une grande entreprise de la cinématographie. C’est en effet via une classique arnaque au président, appelé whaling outre-Atlantique[1], que la société a été victime d’une fraude s’élevant à 19 millions d’euros.

Cette affaire n’a pas été annoncée comme d’habitude par la bourse et la publication des comptes. Non, il s’agit là d’une décision de justice dans la mesure où la personne ayant fait le virement a été licenciée. Et elle n’a pas accepté cette éviction : c’est dans ce jugement néerlandais que les détails ont pu être communiqués au monde entier…

Malheureusement, nous ne saurons avec quelles adresses Email les fraudeurs ont réussi à convaincre le service comptable de Pathé. Mais on sait tout de même que l’adresse finissait en pathe.com, c’est la seule information donnée. De là, nous pouvons tenter de lister les différents cas de figure :

  • Un nom de domaine illicite avait été déposé de type com. Solution : une surveillance de dépôts de nouveaux nom de domaine ;
  • Le compte de messagerie d’un cadre de chez Pathé avait été récupéré frauduleusement. Solution : Demander la mise en place de la double authentification pour les messageries, à minima, des cadres dirigeants ;
  • Le nom affichait une adresse type ceo@pathe.com. Solution : lire l’adresse Email associée en passant son curseur sur l’adresse. Cette dernière est probablement différente, l’adresse ceo@pathe.com n’étant que le nom affiché de l’émetteur et non son adresse de type « ceo@pathe.com <pathescam@gmail.com ».

De manière globale trois conseils : formez-vous, formez-vous, formez-vous. Les exemples d’usurpation, de phishing ou autre via l’IT sont légion et il est nécessaire que les collaborateurs soient formés.

La communication, la vulgarisation et la sensibilisation sont indispensables : prendre quelques minutes à lire ce blog  par exemple, ou les news des sites dédiés est une bonne habitude afin d’être sensibilisés en permanence.

Analyser les récentes fraudes afin d’en sortir des best practices est notre métier et nous sommes là pour vous accompagner.

[1] Donald Trump n’a pas été gentil avec la France dans ses tweets d’hier. Du coup, je limiterai les anglicismes usuels.

[INFOGRAPHIE] Sécurisez votre infrastructure DNS

Les noms de domaine stratégiques d’une entreprise et les services Internet qui y sont associés dépendent du DNS et exigent une haute disponibilité ainsi qu’un niveau élevé de sécurité. Une interruption de services aurait de lourdes conséquences pour les entreprises victimes.

Pourtant, le DNS est bien souvent l’infrastructure la moins sécurisée d’une entreprise et est exposé à de nombreuses attaques potentielles.

Quelles sont les principales cyberattaques visant le DNS ? Quelles en sont les conséquences ? Comment sécuriser votre infrastructure DNS pour vous en prémunir ?

Les réponses dans cette infographie :

[Infographie] Sécurisez votre infrastructure DNS

Retrouvez également sur le blog les articles : DNS – le grand oublié de l’Internet et  les 3 attaques DNS les plus communes et comment les combattre.

Cyberattaques, des sanctions annoncées par l’Union Européenne

Cyberattaques, des sanctions annoncées par l'Union Européenne
Source de l’image : VISHNU_KV via pixabay

Après le succès de l’opération collaborative Power Off, rassemblant plusieurs pays, dont le Royaume-Uni, l’Espagne, le Canada, les USA et les Pays-Bas, épaulée par Europol, ayant conduit au démantèlement de Webstresser.org [l’une des entités responsables de plus de 4 millions d’attaques DDoS dans le monde] en mai 2018, l’Union Européenne a décidé de travailler à la création d’un régime spécifique de sanctions contre les cybercriminels.

Lors du sommet européen du 18 octobre dernier, les dirigeants des 28 états membres se sont prononcés sur des sanctions à l’encontre des pirates informatiques et ce, après la récente tentative de piratage contre l’Organisation pour l’Interdiction des Armes Chimiques (OIAC) à La Haye.

Des accusations contre Moscou

La tentative de piratage en avril 2018 déjouée par les Pays-Bas, visait l’Organisation pour l’Interdiction des Armes Chimiques. Cette dernière aurait été perpétrée par l’agence russe des renseignements militaires ou GRU. Face à cette accusation, Moscou nie cependant toute implication.

Cette cyberattaque contrée s’est jouée au moment même où l’organisation menait une enquête sur l’empoisonnement par une substance neurotoxique au Royaume-Uni d’un ancien agent russe. Malgré le démenti de Moscou, Londres persiste à accuser le GRU d’avoir perpétré cette tentative d’empoisonnement.

Les pays européens se mettent d’accord sur la sanction

Lors d’une conférence de presse, à l’issue du sommet européen, le président du conseil européen, Donald Tusk, a affirmé avoir fait une requête auprès des ministres européens, afin qu’ils élaborent des sanctions spécifiques contre les auteurs de cyberattaques. Cette demande, visant initialement à protéger les entreprises et les internautes, a été validée par les dirigeants des états membres de l’Union Européenne. Selon Donald Tusk, les sanctions constitueront à geler les biens fiscaux des organisations ou des pirates informatiques, et à leur interdire l’accès aux 28 pays membres. Dans l’urgence, 8 états dont le Danemark, les Pays-Bas, la Lituanie, la Lettonie, l’Estonie, la Roumanie, la Finlande et la Grande Bretagne ont imposé à l’Union Européenne de prendre des mesures immédiates pour sanctionner les auteurs de piratages informatiques.

Dans un monde où les cyberattaques pourtant d’envergure semblent souvent rester impunies, les pays membres soulignent l’urgence et l’absolue nécessité d’imposer ces sanctions communes.