Lumières sur la sécurité

mercredi 26 juillet 2017

Il semble que tout soit très clair : un site a été infecté et il héberge désormais un malware, ou bien une attaque de « l’homme du milieu » (« man-in-the-middle ») a été perpétrée, ou bien encore, un employé a pris sa revanche sur ses collègues. En réalité, ce n’est pas aussi simple. Tentons de comprendre ce qui se passe ici.

Les descriptions de malwares indiquent parfois qu’un logiciel ne fonctionne pas sur les machines de certains pays. Et beaucoup pensent que c’est parce que les pirates ont décidé d’épargner ces pays. Mais ce n’est pas vrai.

1. Les malwares sont souvent utilisés pour aider les criminels à convertir de l’argent obtenu illégalement en cash. Comment et où parviennent-ils à trouver des « passeurs » (des gens qui prendront l’argent volé)?
2. Toutes les transactions impliquant des banques étrangères sont généralement rigoureusement contrôlées par les agences gouvernementales du pays luttant contre la corruption et le blanchiment d’argent.
3. Cependant, une investigation impliquant des organisations d’autres pays requiert une coordination avec les services de sécurité des états respectifs et prend plus de temps que d’attraper les criminels sur son territoire.
4. En réduisant le nombre de pays dans lesquels un malware sera opérationnel, les criminels réduisent également la probabilité qu’il soit détecté. Si, de plus, le malware cible seulement une catégorie d’ordinateurs, le risque de détection baissera encore et les médias seront moins enclins à s’intéresser aux incidents liés à ce malware.

Il est également intéressant d’analyser comment la technique de propagation d’un malware influe sur sa popularité dans les médias.

135 infections ont été enregistrées à partir du 19 mai 2017 et 95% d’entre elles impliquaient des ordinateurs ukrainiens. Dans le même temps, d’après MalwareHunter, seuls 30 incidents impliquant WannaCry étaient à déplorer en Russie, alors que le malware sera parvenu à toucher 200 000 hôtes dans le monde entier. Ceci signifie que le taux de diffusion de XData a été quatre fois supérieur.

Quatre fois plus d’infections, et pas de panique dans les médias ? Il y a une raison à cela. WannaCry (Trojan.Encoder.11432) a prioritairement ciblé les grandes entreprises et non les petites et moyennes.

De nombreux malwares sont destinés à « fonctionner » dans des banques localisées dans un seul pays, celui dans lequel les criminels pourront écouler l’argent sale. Evidemment, il existe des malwares qui vont, par exemple, cibler les utilisateurs chinois en Russie, mais ils ne seront d’aucune utilité pour le business de blanchiment d’argent dès lors qu’ils attireront l’attention sur eux.

Peut-être qu’un bon timing a permis à cette attaque de si bien fonctionner. Si une mise à jour pour un logiciel très utilisé est publiée, elle sera alors installée sur de très nombreuses machines, et l’activité d’un autre logiciel pourra alors passer inaperçue. Intelligent!

Un manque de contrôle des événements dans un réseau local est un des problèmes majeurs de sécurité. Résultat, non seulement la pénétration du malware sur le réseau reste invisible, mais les modules qui ont permis l’intrusion ne sont pas non plus détectés.