learn.hack.repeat

Étiquette : Malware Page 1 of 7

EDRSilencer : un outil Red Team détourné pour échapper aux solutions de sécurité

Les solutions de sécurité des entreprises sont de plus en plus perfectionnées, notamment grâce aux technologies de détection et réponse sur les endpoints (EDR). Mais récemment, un outil appelé EDRSilencer a refait surface, conçu initialement pour les tests de sécurité offensifs (Red Team). Malheureusement, cet outil est désormais utilisé par des cybercriminels pour contourner les mesures de protection des EDR dans des attaques réelles.

Qu’est-ce qu’EDRSilencer ?

EDRSilencer est un outil destiné aux professionnels de la cybersécurité qui réalisent des tests d’intrusion pour évaluer les vulnérabilités des infrastructures IT. Cependant, comme c’est souvent le cas avec des outils utilisés par les équipes de sécurité, des acteurs malveillants l’ont détourné de son usage initial pour le déployer dans des cyberattaques. Ce qui rend EDRSilencer particulièrement inquiétant, c’est sa capacité à désactiver ou contourner les solutions de sécurité sur les terminaux (comme les ordinateurs) de l’entreprise.

(EDRSilencer attack chain. Sources: Trend Micro)

En pratique, EDRSilencer intercepte les processus de communication entre un logiciel EDR et ses consoles de gestion. L’outil exploite des vulnérabilités dans la Windows Filtering Platform (WFP), une fonctionnalité native de Windows qui gère le trafic réseau et les communications des applications. Cela permet aux attaquants de bloquer les alertes générées par les EDR avant qu’elles ne soient envoyées aux équipes de sécurité, rendant leurs actions invisibles pendant un temps crucial.

Un danger pour plusieurs solutions EDR

Selon les chercheurs en cybersécurité de Trend Micro, EDRSilencer a été utilisé pour compromettre plusieurs des solutions de sécurité les plus répandues. Parmi celles-ci, on retrouve Microsoft Defender, FortiEDR de Fortinet, et Cortex XDR de Palo Alto Networks. En désactivant les processus d’alerte de ces outils, les attaquants peuvent se déplacer latéralement dans les réseaux d’entreprise sans déclencher d’alarme.

(Blocage du trafic d’exécutables codés en dur. Source : Trend Micro)

En outre, l’outil est hautement personnalisable. Les cybercriminels peuvent définir des filtres spécifiques dans EDRSilencer pour cibler certains processus ou services qu’ils souhaitent masquer, ce qui leur donne un contrôle fin sur les actions qu’ils souhaitent dissimuler aux solutions de sécurité. Par exemple, ils pourraient choisir de cacher les processus liés à des ransomwares ou d’autres logiciels malveillants tout en permettant d’autres processus de rester visibles, ce qui rend l’identification de l’attaque encore plus difficile.

Une menace croissante pour les entreprises

L’utilisation d’un outil comme EDRSilencer montre à quel point les cyberattaques sont en constante évolution. Les entreprises se retrouvent confrontées à des attaques de plus en plus sophistiquées, capables de déjouer les systèmes de défense les plus avancés. Ce genre de menace montre également que la cybersécurité ne peut pas reposer uniquement sur une seule couche de protection.

Il est fortement recommandé de mettre en place des stratégies de défense multicouche. Ces stratégies incluent non seulement des solutions EDR, mais aussi des systèmes de détection des anomalies comportementales, des pare-feux, et des politiques strictes de gestion des accès. De plus, appliquer le principe du moindre privilège sur les utilisateurs et les processus permet de limiter l’ampleur des dégâts en cas de compromission d’un système.

Pour une détection proactive des comportements liés à des outils comme EDRSilencer, il est recommandé de mettre en place des règles analytiques personnalisées dans votre SIEM. Ces règles peuvent surveiller les modifications inhabituelles des filtres de la Windows Filtering Platform (WFP) ou les interruptions des processus critiques des solutions EDR. La plupart des SIEM (Microsoft Sentinel, Splunk, QRadar, etc.) permettent de créer des alertes spécifiques à ces comportements, aidant ainsi à prévenir les attaques.

/* 
Exemple de requête KQL qui surveille les événements WFP (5156, 5157) et les interruptions ou modifications des processus liés à Microsoft Defender 
*/
SecurityEvent
| where EventID == 5156 or EventID == 5157  // Modification dans la WFP
| where ProcessName contains "MsMpEng.exe" // Microsoft Defender Antivirus Process
| where ActionType == "ProcessTerminated" or ActionType == "AuditPolicyChange"
| project TimeGenerated, Computer, Account, ProcessName, EventID, ActionType

En plus de la détection proactive des menaces par la surveillance des comportements suspects, des audits réguliers de la sécurité des infrastructures, sont des éléments clés pour se protéger contre des outils comme EDRSilencer. Cela montre l’importance d’être toujours en avance sur les cybercriminels, qui ne cessent d’adapter leurs techniques.

Conclusion

L’émergence de EDRSilencer comme outil dans les mains des attaquants illustre une tendance inquiétante dans le domaine de la cybersécurité. Des outils initialement développés pour aider les professionnels à tester et renforcer les systèmes de sécurité peuvent être utilisés à des fins malveillantes. Cela souligne l’importance d’une vigilance constante et d’une adaptation rapide face à des menaces toujours plus sophistiquées.

Plus d’information:
EDRSilencer red team tool used in attacks to bypass security
Silent Threat: Red Team Tool EDRSilencer Disrupting Endpoint Security Solutions | Trend Micro (US)

Insomni’hack 2024

Cela faisait très longtemps que j’avais envie d’assister à un rendez-vous incontournable dans le panorama de la cyber sécurité en Suisse romande comme l’est Insomni’hack, mais en raison de contretemps professionnels de dernière minute, de contraintes de calendrier ou autres covid, ça n’avait jamais pu se concrétiser… c’est maintenant chose faite 🙂

Pour ma première visite à Insomni’Hack, le SwissTech Convention Center s’est révélé être l’endroit idéal pour un événement de cette envergure. Les interactions avec les partenaires et exposants, passionnés et non intrusifs, ainsi que le niveau technique élevé des présentations, ont rendu cette expérience inoubliable.

Insomni’hack c’est donc avant tout un évènement pour technards, passionnés de sécu et de gentils hackers. Qu’on se situe du côté des organisateurs, exposants, conférenciers ou visiteurs, les échanges sont toujours riches en partage d’expérience, bonne humeur et convivialité!

Célèbre pour son CTF, remporté cette année par 0rganizers, Insomni’hack c’est aussi plus de 30 conférences techniques, ainsi que plusieurs workshops pour ceux qui voudraient faire du deep dive sur un des nombreux sujets abordés.

Pour ma part, j’ai été présent toute la journée de vendredi et j’ai notamment eu la chance de participer à deux conférences concernant l’OIDC dans le cloud ainsi que la sécurité AD DS.

Abus de la configuration OIDC dans les environnements cloud

L’une des sessions les plus enrichissantes a été celle de Christophe Tafani-Dereeper, intitulée « Abusing misconfigured OIDC authentication in cloud environments« . Cette présentation détaillée a exploré les failles de sécurité courantes associées aux configurations OIDC dans les pipelines CI/CD. Christophe a commencé par une introduction aux fondamentaux d’AWS IAM, expliquant la différence entre les utilisateurs IAM et les rôles IAM, ainsi que l’importance de la gestion sécurisée des politiques d’accès.

Le cœur de la présentation a traité des erreurs de configuration spécifiques qui permettent des escalades de privilèges et des attaques par exécution de code arbitraire. Christophe a illustré comment une politique de confiance mal configurée dans un rôle IAM peut être exploitée pour obtenir des accès étendus sur l’infrastructure AWS. Il a utilisé des exemples réels, montrant des scripts et des commandes pour démontrer comment les attaquants peuvent récupérer des jetons Web JSON (JWT) mal sécurisés et les utiliser pour assumer des rôles IAM vulnérables. Des conseils pratiques ont été donnés pour sécuriser les configurations, incluant l’utilisation de conditions strictes dans les politiques de confiance et la limitation des permissions accordées aux rôles.

Des études de cas ont clôturé la session, où Christophe a détaillé comment son équipe a identifié et signalé de manière responsable des rôles vulnérables, aidant ainsi plusieurs entreprises à améliorer leur posture de sécurité. Cette présentation a non seulement mis en lumière les risques liés à une mauvaise gestion des identités dans le cloud mais a aussi montré l’importance d’une vérification continue et rigoureuse des configurations de sécurité.

Burn it, burn it all : Persistance dans AD DS

La deuxième conférence, présentée par Volker Carstein (Aka Volker) et Charlie Bromberg (Aka Shutdown), nous a plongé dans le monde complexe de la persistance au sein des services de domaine Active Directory avec leur présentation intitulée « Burn it, burn it all« . Le duo a exposé diverses méthodes de persistance, allant des attaques GoldenGMSA à Skeleton Key, en passant par des techniques de délégation KRBTGT et des manipulations de l’SID history.

Volker et Charlie ont commencé par expliquer le concept de GoldenGMSA, détaillant comment les attaquants peuvent exploiter les clés KDS root pour prendre le contrôle de comptes de service gérés par groupe (gMSA). Ils ont démontré, en direct, comment extraire et calculer les mots de passe des gMSA à partir d’informations système apparemment bénignes.

La discussion s’est ensuite tournée vers la technique du Skeleton Key, où ils ont illustré comment l’injection dans le processus LSASS permet de créer un mot de passe maître pour n’importe quel compte sans altérer les mots de passe existants. Cette partie de la session a mis en évidence les risques de sécurité liés aux contrôleurs de domaine et l’importance de surveiller et de sécuriser ces systèmes critiques.

Pour conclure, ils ont abordé des techniques plus avancées telles que la manipulation de l’SID history et l’exploitation de l’objet AdminSDHolder pour obtenir une persistance quasi-indétectable dans des environnements AD. Chaque technique était accompagnée d’exemples de code, de recommandations pour la mitigation et d’histoires de cas réels, rendant la session à la fois éducative et profondément technique.

Rideau de fin et à l’année prochaine!

Je tiens à exprimer ma gratitude envers l’organisateur de l’évènement, Orange Cyberdefense Suisse ainsi que tous les sponsors et exposants, tout particulièrement: Kyos, Yes We Hack, Kaspersky, Zscaler, Palo Alto Networks, et Boll pour leur accueil chaleureux sur leur stand. Leur engagement envers la communauté de la sécurité informatique est la clé de la réussite de ces échanges enrichissants.

Avec des souvenirs plein la tête, pas mal d’articles à lire et de sujets à approfondir, je suis plus que jamais motivé à revenir à Insomni’hack l’année prochaine. Et qui sait, peut-être même pour participer au célèbre CTF 😉

Plus d’information:
https://www.insomnihack.ch/
https://docs.google.com/presentation/d/1TwGYsxgJRWRhm9aO8SIK4NIhwYaXZelWzWk337DTxUk/edit?usp=sharing
https://drive.google.com/file/d/11tfRmol18T7itiZXbAS03OFu3UoRAwhC/view

Plus de 100 modèles IA/ML malveillants découverts dans Hugging Face

Les logiciels malveillants ont un nouveau vecteur à la mode : les grands modèles de langage (LLM) distribués gratuitement. La popularisation de l’intelligence artificielle a attiré l’attention des créateurs de logiciels malveillants. Distribués sur des sites tels que Hugging Face, les modèles sous licence libre sont accessibles à tous et n’importe qui peut publier un modèle ou un dérivé d’un modèle populaire.

Source: pexels.com

Des chercheurs de JFrog ont découvert de nombreux modèles de langage (LLM) compromis par des virus informatiques sur Hugging Face. Ils ont notamment identifié un modèle malveillant qui utilisait un pickle (une façon de sauvegarder des objets dans un fichier) pour insérer un reverse shell (un outil de contrôle à distance) qui s’activait au moment où le modèle était utilisé avec PyTorch, un logiciel de machine learning. Des problèmes similaires ont été trouvés avec des modèles destinés à TensorFlow, qui est un autre outil important dans ce domaine.

Ces modèles ont été conçus pour exécuter un code malveillant en chargeant des fichiers pickle, ce qui compromet la sécurité des systèmes qui les mettent en œuvre.

Les modèles malveillants, qui se faisaient passer pour des modèles légitimes, pouvaient exécuter un code caché lorsqu’ils étaient téléchargés par les utilisateurs, ce qui permettait aux attaquants d’obtenir un shell sur les machines compromises et d’en prendre le contrôle total. Ce type d’attaque, connu sous le nom d’exécution de code à distance (RCE), utilise des fichiers pickle malveillants comme vecteur d’attaque. La plateforme Hugging Face, réputée pour sa vaste bibliothèque de modèles d’IA/ML, est donc affectée par un fort impact sur la sécurité de ses utilisateurs.

Pour limiter les risques, il est conseillé aux utilisateurs d’être extrêmement prudents lors du téléchargement et de l’installation des modèles Hugging Face, d’examiner attentivement les modèles avant leur déploiement et d’utiliser des solutions de sécurité capables de détecter et de bloquer les fichiers malveillants.

Cet incident souligne l’importance de la cybersécurité dans le domaine de l’IA/ML et la nécessité pour les utilisateurs d’être informés des risques associés à l’utilisation de modèles open source. Il est essentiel de prendre des mesures préventives pour protéger les systèmes et les informations précieuses.

Ces incidents nous rappellent l’importance cruciale de l’AML (Apprentissage Automatique Adversarial), qui vise à élaborer des méthodes pour attaquer et défendre les modèles d’IA. Ce domaine nous montre combien il est nécessaire d’avoir des protections solides pour maintenir la sûreté de ces systèmes. L’AML crée des stratégies comme l’empoisonnement de données, les techniques d’évasion, et les attaques par rétropropagation pour tester et renforcer la sécurité des modèles d’IA. L’objectif est d’éviter que les performances des modèles soient diminuées ou que leurs prédictions soient altérées. En réponse, des tactiques de défense, telles que la détection des anomalies et le renforcement des modèles, sont mises en place pour prévenir ces dangers. Détecter rapidement les comportements suspects et concevoir des modèles plus robustes face aux tentatives de manipulation est vital pour se protéger contre les menaces, y compris celles concernant la sécurité financière comme la lutte contre le blanchiment d’argent.

Il est vital de connaître les faiblesses des modèles de ML et de développer des défenses efficaces contre les attaques adverses. Avec l’évolution de l’AML, il est de plus en plus important pour les développeurs d’adopter des stratégies de sécurité avancées pour préserver l’intégrité de leurs modèles.

Plus d’information:
https://fr.wikipedia.org/wiki/Grand_mod%C3%A8le_de_langage
https://fr.wikipedia.org/wiki/PyTorch
https://fr.wikipedia.org/wiki/TensorFlow
https://huggingface.co/docs/hub/security-pickle
https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/
https://www.vaadata.com/blog/fr/rce-remote-code-execution-exploitations-et-bonnes-pratiques-securite/

Prévisions des menaces pour 2024

Alors que l’année se termine, nous entrons dans un moment de réflexion et de prospective. C’est le temps des bilans, une période où nous examinons en détail les événements de l’année qui s’achève, tout en tournant notre regard vers l’avenir. Cette transition marque non seulement la fin d’un chapitre, mais aussi le début d’un nouveau, rempli de possibilités et d’anticipations. C’est dans cet esprit que nous nous préparons à accueillir la nouvelle année, armés de leçons apprises et de prévisions éclairées pour les mois à venir.

Source: pexels.com

L’équipe de recherche et d’analyse mondiale (GReAT) de Kaspersky a surveillé plusieurs groupes de menaces persistantes avancées (APT), analysant les tendances de l’année écoulée pour voir lesquelles des prédictions pour 2023 se sont réalisées et essayer de prédire ce qui se passera en 2024. C’est une façon d’essayer d’anticiper les développements futurs pour garder une longueur d’avance sur l’évolution du paysage des menaces.

Retour sur les prévisions de l’année dernière

  1. L’essor des attaques destructrices : le logiciel malveillant CryWiper. Verdict : partiellement atteint.
  2. Les serveurs de messagerie deviennent des cibles prioritaires. Verdict : prédiction réalisée.
  3. Le prochain WannaCry. Verdict : prédiction non réalisée.
  4. Les APT se concentrent sur les technologies, les producteurs et les opérateurs de satellites. Verdict : prédiction non réalisée.
  5. Le piratage et les fuites de données sont la nouvelle tendance noire (et sinistre). Verdict : prédiction réalisée.
  6. Davantage de groupes APT quitteront Cobalt Strike pour d’autres alternatives. Verdict : la prédiction ne s’est pas réalisée.
  7. Logiciels malveillants transmis par SIGINT. Verdict : prédiction réalisée.
  8. Piratage de drones. Verdict : prédiction non réalisée.

Horizon 2024 : Tendances et prédictions dans l’univers des APT

En s’appuyant sur une analyse approfondie des tendances en 2023, explorons les contours et les possibles évolutions du paysage des menaces persistantes avancées pour l’année prochaine.

Source: Kaspersky

Innovation en matière d’exploits sur mobiles et appareils connectés

L’année passée, l’opération Triangulation a révélé une réalité troublante : les appareils iOS, cibles d’une campagne d’espionnage sophistiquée et discrète. Cette enquête a mis en lumière cinq vulnérabilités majeures affectant non seulement les smartphones et tablettes, mais également les ordinateurs portables et même les dispositifs domestiques comme l’Apple TV et l’Apple Watch. Ce développement suggère une tendance à l’expansion des attaques avancées vers une gamme plus large d’appareils grand public et de technologies domestiques intelligentes. Et il n’y a pas que les produits iOS qui sont menacés ; d’autres appareils et systèmes d’exploitation pourraient également se retrouver dans le viseur des cybercriminels.

Les cyberattaquants redoublent de créativité en ciblant désormais des dispositifs variés comme les caméras domestiques intelligentes et les systèmes de voitures connectées. Ces appareils, qu’ils soient modernes ou plus anciens, présentent souvent des vulnérabilités dues à des failles de sécurité, des configurations inadéquates, ou des logiciels non mis à jour. Cette combinaison de faiblesses les rend particulièrement attrayants pour les pirates informatiques, qui profitent de ces lacunes pour mener des attaques simples mais efficaces.

Cette nouvelle vague d’exploits se caractérise par leur diffusion « silencieuse », à l’instar de l’opération « Triangulation » où les exploits se transmettaient discrètement via iMessage, s’activant sans aucune interaction de l’utilisateur. Dans l’année à venir, nous pourrions assister à l’émergence de nouvelles méthodes de diffusion, telles que les attaques « zéro clic » via des messageries populaires multiplateformes, ou les attaques « un clic » où l’ouverture de liens malveillants déclenche des exploits. Moins courante mais tout aussi redoutable, la méthode d’interception du trafic réseau, par exemple via des réseaux Wi-Fi, pourrait également gagner en popularité.

Pour contrer ces menaces sophistiquées, la protection des appareils personnels et professionnels est cruciale. L’utilisation de solutions comme les plateformes XDR, SIEM, et MDM, en complément des antivirus traditionnels, est essentielle. Ces outils permettent une centralisation de la collecte des données, une analyse accélérée, et une corrélation efficace des événements de sécurité provenant de diverses sources, facilitant ainsi une réponse rapide et coordonnée face à des incidents complexes.

L’émergence de nouveaux réseaux de zombies : Une menace croissante

Les logiciels et appareils utilisés tant dans les sphères professionnelles que personnelles restent vulnérables, ouvrant la porte à de graves menaces. Un nombre record de vulnérabilités, dépassant les 25 000, a été identifié en 2022, selon Statista. Cette réalité, couplée à des ressources souvent insuffisantes pour une analyse et une correction rapides des vulnérabilités, alimente les craintes d’une prolifération de réseaux de zombies à grande échelle. Ces réseaux, construits de manière furtive, pourraient lancer des attaques ciblées et redoutables.

Le botnetting consiste à installer furtivement des logiciels malveillants sur une multitude d’appareils à l’insu de leurs propriétaires. Les groupes APT peuvent trouver cette tactique intrigante pour plusieurs raisons. D’une part, elle permet aux acteurs de la menace de dissimuler la nature ciblée de leurs attaques derrière des attaques apparemment généralisées, ce qui rend difficile pour les défenseurs de déterminer l’identité et les motivations des attaquants. En outre, les réseaux de zombies basés sur des appareils ou des logiciels grand public, ou ceux appartenant à des organisations légitimes, masquent commodément la véritable infrastructure des attaquants. Ils peuvent servir de serveurs proxy, de centres C2 (commande et contrôle) intermédiaires et, en cas de mauvaise configuration du réseau, de points d’entrée potentiels dans les organisations.

Historiquement, les réseaux de zombies ont joué un rôle clé dans diverses attaques. Par exemple, un botnet de dizaines de milliers de routeurs domestiques a été exploité pour diriger du trafic malveillant vers d’autres réseaux. Plus récemment, avec l’essor du télétravail, des campagnes APT ont ciblé des travailleurs à distance en infectant des routeurs de petites entreprises ou de bureaux à domicile. Ces attaques exploitent souvent des vulnérabilités non corrigées, rendant les appareils et les logiciels des cibles faciles. Avec la récente révélation de nombreuses vulnérabilités, il est probable que de telles stratégies se multiplient.

Outre les groupes APT, les cybercriminels peuvent aussi tirer parti des réseaux de zombies. La nature cachée de ces attaques complique leur détection, offrant aux assaillants de multiples opportunités pour s’infiltrer discrètement et s’implanter durablement au sein des infrastructures ciblées.

La résurgence des Rootkits de noyau : Défis et contournements

Malgré l’introduction de mesures de sécurité avancées par Microsoft, comme KMCS, PatchGuard, HVCI, et l’architecture Secure Kernel, les rootkits de noyau refont surface. Autrefois courants, ces attaques classiques avaient diminué grâce à ces protections. Cependant, récemment, des acteurs APT et des groupes cybercriminels ont réussi à exécuter leur code au niveau du noyau, contournant ces mécanismes. Des abus du Programme de compatibilité matérielle de Windows et des rootkits comme Netfilter et FiveSys ont été identifiés, exploités pour des activités malveillantes telles que le vol d’informations d’identification et le détournement d’achats dans les jeux.

Les tendances futures indiquent une intensification des méthodes utilisées par les acteurs de la menace. Trois vecteurs principaux sont prévus pour renforcer leurs capacités :

  1. Le développement du marché noir des certificats de véhicules électriques et des certificats de signature de code volés.
  2. Une augmentation des abus de comptes de développeurs pour signer des codes malveillants via des services de signature de code de Microsoft, notamment WHCP.
  3. La croissance continue du concept de « Bring Your Own Vulnerable Driver » (BYOVD), devenant un élément standard dans l’arsenal des techniques, tactiques et procédures (TTP) des cybermenaces actuelles.

Escalade des cyberattaques soutenues par les états en 2024

2023 a été témoin d’une intensification des conflits mondiaux, atteignant un niveau de violence inédit depuis la Seconde Guerre mondiale, d’après l’ONU. Ces conflits intègrent systématiquement des composantes cybernétiques. Les attaques APT telles que BlackEnergy en Ukraine, illustrant la cyberguerre moderne, ont eu un impact dévastateur. Le spectre des acteurs de cyberguerre s’étend des campagnes APT dans des zones de conflit à des attaques ciblées dans des tensions géopolitiques récentes, impliquant des attaques sophistiquées contre des infrastructures critiques et l’espionnage cybernétique. Cette tendance à l’implication étatique dans le cyberespace ne fera que croître.

Dans l’avenir, on s’attend à une recrudescence des cyberattaques parrainées par des États, en parallèle avec l’intensification des tensions géopolitiques. Ces attaques cibleront non seulement les infrastructures critiques, les secteurs gouvernementaux et les entreprises de défense, mais aussi les médias, utilisés pour la contre-propagande ou la désinformation. Les pirates viseront le vol de données, la destruction d’infrastructures informatiques, et l’espionnage à long terme. On prévoit également une augmentation des campagnes de cyber-sabotage, avec des attaques ciblées contre des individus ou des groupes, impliquant la compromission de dispositifs personnels, l’utilisation de drones et de logiciels malveillants.

Hacktivisme : Une composante clé des conflits géopolitiques modernes

L’ère actuelle des conflits géopolitiques a intégré l’hacktivisme comme un élément incontournable de la cyberguerre. Les hacktivistes impactent la cybersécurité par des cyberattaques directes, telles que les attaques DDoS, le vol ou la destruction de données, et la défiguration de sites web. Ils peuvent également propager de fausses allégations de piratage, engendrant des enquêtes et une fatigue d’alerte inutiles pour les analystes SOC et les experts en cybersécurité. Les deepfakes, outils de désinformation, sont fréquemment utilisés par les hacktivistes, tout comme d’autres méthodes pour influencer l’opinion publique ou perturber les services. Dans le contexte des tensions géopolitiques actuelles, les activités hacktivistes destructrices et les campagnes de désinformation sont en augmentation.

L’essor des attaques contre la chaîne d’approvisionnement en tant que service

L’utilisation de la chaîne d’approvisionnement comme vecteur d’attaque est en hausse, avec des attaquants ciblant les fournisseurs, intégrateurs ou développeurs pour atteindre des organisations plus grandes. Les petites et moyennes entreprises, souvent moins protégées contre les attaques APT, deviennent des points d’entrée pour les pirates. Des incidents comme les brèches d’Okta, touchant des milliers de clients, illustrent cette tendance. Avec la diversification des motivations des attaquants, de la recherche de profit au cyber-espionnage, les attaques deviennent plus complexes. On observe des cas où des portes dérobées coexistent sur les mêmes machines, indiquant des attaques ciblées, notamment dans le secteur de la crypto-monnaie.

En 2024, les attaques contre la chaîne d’approvisionnement pourraient prendre de nouvelles formes, avec l’utilisation de logiciels libres pour viser des développeurs spécifiques et l’émergence d’un marché parallèle offrant des paquets d’accès à divers fournisseurs. Ces évolutions permettraient aux attaquants de sélectionner soigneusement leurs cibles pour des attaques à grande échelle, augmentant potentiellement l’efficacité et la portée des attaques contre la chaîne d’approvisionnement.

L’essor du Spear-Phishing avec l’IA générative

Avec la démocratisation des chatbots et outils d’IA générative, les acteurs malveillants développent désormais leurs propres chatbots ‘black hat’ en s’appuyant sur des modèles légitimes. Des modèles comme WormGPT, prétendument basés sur GPTJ open source, sont spécifiquement conçus pour un usage malveillant. D’autres modèles, tels que xxxGPT, WolfGPT, FraudGPT, DarkBERT, sans restrictions de contenu, offrent de nouvelles possibilités pour les attaquants exploitant ces outils dans des campagnes de phishing sophistiquées.

Source: valimail.com

L’avènement des outils d’IA générative va transformer le spear-phishing, permettant une production en masse de messages d’hameçonnage personnalisés. Ces outils offrent la capacité non seulement de rédiger rapidement des messages convaincants, mais aussi de générer des documents de phishing et d’imiter le style de communication de personnes spécifiques. Cette année, on s’attend à ce que les attaquants automatisent l’espionnage en collectant des données en ligne pour créer des messages textuels ou audio personnalisés. La sensibilisation à la cybersécurité et les mesures préventives, telles que la veille sur les menaces, la surveillance et la détection proactive, deviennent donc encore plus cruciales.

Montée des services de piratage à la demande

Les groupes offrant des services de piratage contractuel deviennent plus nombreux. Ces cyber-mercenaires, spécialisés dans l’infiltration des systèmes et le vol de données, ciblent une clientèle variée comprenant des enquêteurs privés, des cabinets d’avocats, des concurrents commerciaux et des individus sans compétences techniques. Ces groupes font la publicité de leurs services et sélectionnent activement leurs cibles.

GReAT a suivi DeathStalker, un groupe qui cible spécifiquement les cabinets d’avocats et les entreprises financières, fournissant des services de piratage et agissant comme courtier en informations. Ils utilisent des techniques telles que des courriels d’hameçonnage avec des pièces jointes malveillantes pour contrôler les appareils des victimes et s’emparer de données sensibles.

Ces groupes de pirates, organisés hiérarchiquement avec des chefs et des équipes, sont actifs sur les plateformes du dark web. Ils emploient des techniques variées, comme les logiciels malveillants, le phishing et l’ingénierie sociale, tout en utilisant des communications anonymes et des VPN pour éviter la détection. Leur impact va de la violation de données à des atteintes à la réputation, et leurs services s’étendent jusqu’à l’espionnage commercial, incluant la collecte d’informations sur les concurrents, les opérations de fusion et acquisition, les plans d’expansion, et les données financières et clients.

Cette tendance des services de piratage à la demande devrait s’intensifier mondialement dans l’année à venir. Des groupes APT pourraient élargir leurs activités pour répondre à la demande croissante, cherchant à générer des revenus pour financer leurs opérations et rémunérer leurs membres.

MFT Systems : Nouvel Épicentre des Cybermenaces

Les systèmes de gestion du transfert de fichiers (MFT) sont devenus essentiels mais vulnérables dans le paysage numérique actuel. Ils facilitent l’échange de données sensibles mais attirent l’attention des cyberattaquants, notamment pour des attaques de ransomware. La sécurité accrue autour des MFT est cruciale pour protéger les informations importantes des organisations contre ces menaces croissantes.

Les attaques contre les systèmes MFT comme MOVEit et GoAnywhere en 2023 ont révélé des vulnérabilités critiques. Des incidents tels que la violation de MOVEit par le gang de ransomware Cl0p et l’exploitation de GoAnywhere de Fortra ont montré comment une seule faille peut conduire à des fuites de données, des perturbations opérationnelles et des demandes de rançon. Ces exemples soulignent l’importance de protéger les systèmes MFT contre de telles cybermenaces.

L’avenir prévoit une intensification des attaques ciblant les systèmes MFT. L’appât du gain et le potentiel de perturbation opérationnelle vont probablement augmenter la fréquence de ces attaques. Les vulnérabilités inhérentes à l’architecture complexe des MFT, surtout lorsqu’elles sont intégrées dans des réseaux d’entreprise étendus, offrent des opportunités d’exploitation aux cyberadversaires toujours plus compétents. Ainsi, les vulnérabilités des systèmes MFT pourraient devenir un vecteur de menace plus important.

La tendance actuelle indique une augmentation des risques de cyberattaques contre les systèmes MFT, menaçant la protection des données et augmentant le potentiel d’extorsion financière. Les incidents survenus en 2023 soulignent les vulnérabilités des systèmes MFT et l’importance de renforcer les mesures de cybersécurité pour protéger ces canaux critiques de transfert de données.

Il est essentiel pour les organisations d’examiner leurs systèmes MFT pour y détecter et corriger les failles de sécurité. L’adoption de solutions robustes de prévention des pertes de données (DLP), le cryptage des données sensibles, et la promotion d’une culture de sensibilisation à la cybersécurité sont des étapes clés. Ces mesures renforceront la sécurité des MFT face aux cybermenaces croissantes, essentielles pour la protection des données et la résilience opérationnelle des organisations dans un environnement de cybermenaces en constante évolution.

Les événements de 2023 sont un avertissement pour les organisations de renforcer la cybersécurité des systèmes MFT. Face à des cybermenaces de plus en plus sophistiquées, il est crucial de garantir l’intégrité et la sécurité des systèmes MFT pour contrer les menaces. Les prédictions de 2023 servent de guide pour les actions futures, et il sera intéressant de voir quelles menaces se concrétiseront et lesquelles seront évitées.

Plus d’information:
https://securelist.com/kaspersky-security-bulletin-apt-predictions-2024/111048/
https://www.kaspersky.fr/about/team/great
https://fr.wikipedia.org/wiki/Piratage_du_syst%C3%A8me_%C3%A9nerg%C3%A9tique_ukrainien
https://www.bitdefender.com/blog/hotforsecurity/the-emergence-of-the-fivesys-rootkit-a-malicious-driver-signed-by-microsoft/
https://www.bleepingcomputer.com/news/security/microsoft-admits-to-signing-rootkit-malware-in-supply-chain-fiasco/
https://www.bleepingcomputer.com/news/security/okta-october-data-breach-affects-all-customer-support-system-users/

Intelligence artificielle, ChatGPT et cybersécurité

L’intelligence artificielle et des outils comme ChatGPT révolutionnent le domaine de la cybersécurité. Cet article s’intéresse à la dualité de l’IA : un potentiel immense pour renforcer nos défenses numériques, tout en présentant de nouveaux défis et opportunités pour les acteurs malveillants. Nous plongerons dans l’impact de ces technologies avancées et leur rôle dans le paysage changeant de la sécurité informatique.

Source: pexels.com

ChatGPT dans la recherche sur la sécurité

Lorsqu’on lui pose la question, l’outil lui-même nous informe des nombreuses façons dont il peut être utile aux services de renseignement sur les menaces, qui peuvent être résumées comme suit :

  • Fournir des informations et servir d’outil de recherche avancée.
  • Favoriser l’automatisation des tâches, en réduisant le temps consacré aux tâches plus mécaniques et nécessitant une analyse moins détaillée.
Capture d’écran d’une conversation avec ChatGPT sur le sujet de l’article.

L’intelligence artificielle est devenue un pilier dans le domaine de la cybersécurité, facilitant la classification automatique des contenus en ligne. Des sociétés comme Microsoft capitalisent sur cette technologie, intégrant des outils d’IA dans des services tels que Bing et Azure OpenAI, et envisagent son application dans Microsoft Sentinel pour améliorer la gestion des incidents de sécurité. Parallèlement, l’IA aide à formuler des règles sophistiquées pour la détection d’activités suspectes, à l’instar des règles YARA. De son côté, Google prévoit d’introduire Bard, son propre outil d’IA, dans son moteur de recherche prochainement.

ChatGPT dans la cybercriminalité

De l’autre côté de la cybersécurité, on trouve également de multiples applications d’outils tels que ChatGPT, même s’ils sont initialement conçus pour empêcher leur utilisation à des fins illicites.

Au début du mois de janvier 2023, les chercheurs de CheckPoint ont signalé l’émergence de messages sur des forums clandestins discutant de méthodes pour contourner les restrictions du ChatGPT afin de créer des logiciels malveillants, des outils de cryptage ou des plateformes commerciales sur le deep web. En ce qui concerne la création de logiciels malveillants, les chercheurs qui ont tenté de réaliser des POC sont parvenus à la même conclusion :

ChatGPT est capable de détecter si une requête demande directement la création d’un code malveillant

Toutefois, en reformulant la demande de manière plus créative, il est possible de contourner ces défenses pour créer des logiciels malveillants polymorphes ou des keyloggers avec quelques nuances.

Le code généré n’est ni parfait ni complet et sera toujours basé sur le matériel sur lequel l’intelligence artificielle a été entraînée, mais il ouvre la porte à la génération de modèles capables de développer ce type de logiciels malveillants.

Réponse de ChatGPT sur la création de logiciels malveillants par l’IA

Une autre des utilisations illicites possibles de ChatGPT est la fraude ou l’ingénierie sociale. Parmi les contenus que ces outils peuvent générer, on trouve des courriels de phishing conçus pour inciter les victimes à télécharger des fichiers infectés ou à accéder à des liens qui peuvent compromettre leurs données personnelles, leurs informations bancaires, etc. Sans que l’auteur de la campagne n’ait besoin de maîtriser les langues utilisées dans la campagne, ni d’écrire manuellement l’une d’entre elles, en générant automatiquement de nouveaux thèmes sur lesquels baser la fraude.

De manière générale, que l’outil soit capable de fournir un code ou un contenu complet et prêt à l’emploi ou non, ce qui est certain, c’est que l’accessibilité de programmes tels que ChatGPT peut réduire la sophistication nécessaire pour mener des attaques qui, jusqu’à présent, nécessitaient des connaissances techniques plus étendues ou des compétences plus développées.

Ainsi, les acteurs de la menace qui se limitaient auparavant à lancer des attaques par déni de service ont pu passer au développement de leurs propres logiciels malveillants et à leur diffusion dans le cadre de campagnes d’hameçonnage par courrier électronique.

Les nouveaux modèles d’IA tels que ChatGPT, comme toutes les autres avancées technologiques, peuvent être utilisés aussi bien pour soutenir le progrès et améliorer la sécurité que pour l’attaquer.

Pour l’instant, les cas réels d’utilisation de ce type d’outils pour commettre des délits dans le cyberespace sont anecdotiques, mais ils nous permettent d’imaginer le paysage possible de la cybersécurité dans les années à venir.

La mise à jour constante des connaissances est une fois de plus essentielle pour les chercheurs et les professionnels dans le domaine de la technologie.

Le grand danger de l’intelligence artificielle est que les gens en viennent trop vite à la conclusion qu’ils la comprennent.

Eliezer Yudkowsky

Plus d’information:
https://fr.wikipedia.org/wiki/Intelligence_artificielle
https://azure.microsoft.com/en-us/products/ai-services/openai-service
https://www.cisa.gov/sites/default/files/FactSheets/NCCIC%20ICS_FactSheet_YARA_S508C.pdf
https://research.checkpoint.com/2023/opwnai-cybercriminals-starting-to-use-chatgpt/
https://www.cyberark.com/resources/threat-research-blog/chatting-our-way-into-creating-a-polymorphic-malware
https://www.deepinstinct.com/blog/chatgpt-and-malware-making-your-malicious-wishes-come-true

Page 1 of 7

Fièrement propulsé par WordPress & Thème par Anders Norén