La CVE-2017-8225, ouvre-t-elle la voie à un nouveau IoT botnet ?

La CVE-2017-8225 est une vulnérabilité, datant de mars 2017, qui concerne plus de 1250 modèles de caméras de la gamme Wireless IP Camera (P2) WIFICAM fabriquée en Chine. La vulnérabilité est critique, car elle permet une exécution de code à distance (le pire des vulnérabilités) sur la caméra à travers le serveur web qui permet sa configuration en utilisant un navigateur web. Le site Shodan, qui référence les systèmes connectés à Internet, indique que prêt de 185 000 caméras connectées sont concernées par cette vulnérabilité.

L’histoire aurait pu s’arrêter là. Sauf qu’un chercheur en cyber sécurité a découvert, dans un forum, un échange intéressant qui traite de l’exploitation de cette vulnérabilité. L’échange démontre une collaboration entre plusieurs personnes pour développer des scripts (armement) qui utilisent Shodan pour identifier les cibles potentielles (découverte) ainsi que la compromission et enfin l’utilisation de Netcat pour prendre les commandes et le contrôle à distance (C2) des caméras compromises (cf. ma publication sur la Cyber Kill Chain pour comprendre les étapes d’une attaque qui s’applique à ce cas). Le niveau de collaboration est assez poussé puisqu’un des acteurs de l’échange a proposé de partager sa clé d’API qui permet d’utiliser la version premium de Shodan afin d’exporter la liste des IP vulnérable. L’export permet d’intégrer simplement aux scripts les cibles à attaquer.

… une nouvelle activité est née : le “MDLC” pour Malware Development Life Cycle.

Le service de renseignement canadien dévoile un outil de détection de malwares

Le service de renseignements canadien spécialisé dans la surveillance des télécommunications et les écoutes téléphoniques, Communications Security Establishment ou CSE en anglais, a dévoilé un outil qui a été développé par ses équipes et destiné à la détection et l’analyse des malwares. L’outil a été baptisé Assemblyline.

Assembly permet d’analyser le contenu des fichiers qui lui sont transmis. Il est capable d’analyser des fichiers Microsoft Office contenant des charges malicieuses. La particularité de l’outil est qu’il est capable de traiter simultanément un très grand nombre de fichiers avec des options d’indexation et de scoring, sur le modèle des antispams ; le scoring aidant à décider de l’action destinée au traitement. Reste à voir si Assembly est capable de s’interfacer avec un relais de messagerie ou un proxy web.

L’outil a été mis à disposition en Open Source afin qu’il soit modifié et adapté par ses futurs utilisateurs. Il est disponible sur bitbucket à l’adresse suivante : https://bitbucket.org/cse-assemblyline/

Mise en pratique de la cyber kill chain pour la sécurité des systèmes industriels

La kill chain est un concept militaire pour modéliser la structure d’une attaque : identification de la cible, déploiement des forces vers la cible, confirmation de l’ordre d’attaque et, pour finir, destruction de la cible. La société Lockheed Martin a retranscrit ce concept dans le monde de la cyber sécurité afin d’identifier et de prévenir les intrusions dans les systèmes d’information, notamment les attaques furtives désignées par Advanced Persistent Threat, APT. Cette approche a été adaptée, en 2015, aux systèmes industriels par le SANS Institute dans le contexte des attaques Havex et Stuxnet.

Continuer la lecture de Mise en pratique de la cyber kill chain pour la sécurité des systèmes industriels

A quand la convergence IDaaS, CASB et EMM pour la sécurité des accès aux systèmes d’information ?

Trois grandes technologies, à savoir l’IDaaS, le CASB et l’EMM, se généralisent pour la sécurité des accès aux systèmes d’information, notamment à travers des terminaux mobiles de type smartphone et tablette. Leur intégration dans les usages mobiles n’est pas encore transparente pour l’expérience utilisateur… voire, même dans certains cas, dans l’amélioration de la sécurité du système d’information. Probablement, que certaines solutions du marché sont plus intégrées que d’autres, cet article a pour objectif de traiter la problématique de l’usage des trois technologies et leur mise en oeuvre dans le système d’information de manière globale.

Continuer la lecture de A quand la convergence IDaaS, CASB et EMM pour la sécurité des accès aux systèmes d’information ?

Bilan des dernières cyber attaques contre le secteur de l’énergie

Avec l’accélération de la transformation numérique des organisations, les systèmes critiques sont de plus en plus connectés à des réseaux eux-mêmes connectés ou connectables directement ou indirectement à Internet. Cette connectivité expose les systèmes critiques des organisations à des attaques de plus en plus élaborée et complexes à détecter. Stuxnet avait ouvert la voie en 2010 en démontrant qu’il était possible de compromettre des systèmes critiques du programme nucléaire iranien. Les attaques de 2015 et 2016 conte les infrastructures de distribution électrique ukrainiennes ont laissé dans le noir prêt de 225 000 foyers. Ces derniers mois, plusieurs rapports ont été publiés sur de nombreuses nouvelles attaques contre le secteur de l’énergie dans différents pays. Un phénomène qui semble d’accélération.

Continuer la lecture de Bilan des dernières cyber attaques contre le secteur de l’énergie