La portée tentaculaire des menaces complexes - Bulletin d’informations sur la sécurité

Ransomware

Cibles de premier plan

Hormis le secteur de la santé, constamment visé, le gouvernement et le secteur de l'éducation ont notamment fait les frais de l’approche plus ciblée d’opérateurs de ransomware. Aux États-Unis en particulier, le ransomware a fait des victimes de premier plan comme des villes en Californie, en Géorgie, dans le Michigan, le Maryland et en Floride, ainsi que des secteurs scolaires publics en Louisiane dont les perturbations ont entraîné un état d’urgence.

L’empressement de nombreuses organisations à payer des rançons afin d’accélérer la récupération de leurs données et de leurs systèmes a grandement contribué à cette tendance. Cette dernière a peut-être même été renforcée par leurs garanties d'assurance contre les attaques par ransomware. Par exemple, un comté dans l’Indiana, dont le fonctionnement était paralysé par un ransomware, a accepté de payer une rançon à six chiffres, dont les trois quarts étaient couverts par l'assureur du comté.

Menaces liées à la messagerie électronique

Arnaques par phishing

L’utilisation généralisée de Microsoft Office 365 par les entreprises, qui a dépassé l’an dernier les 200 millions d’utilisateurs actifs mensuels, a maintenu la motivation des escrocs à lancer des campagnes de phishing qui falsifient la suite logicielle, en particulier son composant de messagerie électronique, Outlook. Le nombre d’URL uniques liées à Office 365 qui ont été bloquées a doublé par rapport à l’année précédente.

Toutefois, de plus en plus d’utilisateurs professionnels passent à Slack et à d'autres plateformes de messagerie électronique plus récentes, ce qui a peut-être contribué à la baisse de nos détections d’URL liées au phishing.

Comparaison d’une année sur l’autre du nombre d’URL de phishing uniques liées à Office 365 bloqué

VULNÉRABILITÉS

Défauts du RDP

BlueKeep, une vulnérabilité critique (CVE-2019-0708) dans le protocole RDP (Remote Desktop Protocol) de Microsoft, a fait les gros titres pour sa capacité à déployer un ver, qui pourrait permettre la propagation rapide d’un logiciel malveillant d’une manière semblable à celle utilisée par WannaCry pour infecter des systèmes dans le monde en 2017. S’il est exploité efficacement, BlueKeep, qui touche les systèmes hérités Windows 7, Windows 2003, Windows Server 2008 R2, Windows Server 2008 et Windows XP, pourrait être utilisé pour des attaques d’exécution de code à distance.

Un exploit BlueKeep a été découvert dans une campagne qui installait et assurait la persistance de mineurs de cryptomonnaie malveillants. Mais, même si cette campagne n'a pas démontré la capacité d’auto-propagation qu'on s'attendait à ce que BlueKeep facilite, Microsoft a indiqué à nouveau que les futurs exploits pourraient provoquer plus de dommages et a souligné l’importance de corriger les systèmes vulnérables. Malgré la gravité de BlueKeep, plus de 800 000 systèmes vulnérables n’étaient toujours pas corrigés deux mois après sa révélation.

ATTAQUES DE CHAÎNE D’APPROVISIONNEMENT

Compromission des sites d’e-commerce

Les attaques de chaînes d'approvisionnement, qui compromettent un service ou une organisation via un partenaire externe ou un fournisseur tiers ayant accès à ses données ou systèmes, ont pris de l’importance grâce à des campagnes impliquant un consortium de groupes de pirates informatiques appelé Magecart. En général, ces groupes compromettent les sites Web d’e-commerce en visant leurs systèmes de panier virtuel tiers afin de voler les informations relatives aux cartes de paiement des clients.

L'un de ces groupes, nommé Magecart Group 12, a infecté des centaines de sites d’e-commerce en commençant par attaquer leur fournisseur de service publicitaire tiers. Un autre groupe appelé FIN6 a compromis des centaines de boutiques en ligne hébergées sur une plateforme d’e-commerce populaire.

Campagnes de compromission des sites d’e-commerce réalisées par Magecart Group 12 et FIN6 en 2019